Coletar registros do Cloudflare

Versão do analisador: 24.0

Compatível com:

Neste documento, explicamos como ingerir registros do Cloudflare no Google Security Operations usando o Webhook (destino HTTP) ou o Google Cloud Storage. A Cloudflare produz dados operacionais na forma de registros para DNS, solicitações HTTP, eventos de firewall, auditoria, Zero Trust e CASB. Essa integração permite enviar esses registros ao Google SecOps para análise e monitoramento.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Instância do Google SecOps.
  • Conta corporativa do Cloudflare com o Logpush ativado.
  • Para o método de webhook: acesso privilegiado ao console do Google Cloud.
  • Para o método do GCS: acesso privilegiado ao Google Cloud Storage.

Método 1: configurar a exportação de registros do Cloudflare usando o Webhook (destino HTTP)

Esse método permite transmitir registros do Cloudflare diretamente para o Google Security Operations sem armazenamento intermediário, reduzindo custos e simplificando a configuração.

Configurar um feed de webhook no Google SecOps

  1. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
  2. Clique em Adicionar novo feed.
  3. Clique em Configurar um único feed.
  4. No campo Nome do feed, insira um nome para o feed (por exemplo, Cloudflare Webhook).
  5. Selecione Webhook como o Tipo de origem.
  6. Selecione Cloudflare como o Tipo de registro.
  7. Clique em Próxima.
  8. Especifique valores para os seguintes parâmetros de entrada:
    • Delimitador de divisão: \n.
    • Namespace do recurso: o namespace do recurso.
    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed.
  9. Clique em Próxima.
  10. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.
  11. Clique em Gerar chave secreta para gerar uma chave secreta e autenticar esse feed.
  12. Copie e salve a chave secreta, porque não será possível visualizá-la novamente.
  13. Acesse a guia Detalhes.
  14. Copie o URL do endpoint do feed no campo Informações do endpoint.
  15. Clique em Concluído.

Criar uma chave de API para o feed de webhook

  1. Acesse a página "Credenciais" do console do Google Cloud.
  2. Selecione seu projeto (associado à instância do Google SecOps).
  3. Clique em Criar credenciais > Chave de API.
  4. Clique em Editar chave de API.
  5. Em Restrições de API, selecione Restringir chave.
  6. No menu suspenso Selecionar APIs, pesquise e selecione API Chronicle.
  7. Clique em Salvar.
  8. Copie o valor da chave de API.

Configurar o destino HTTP do Cloudflare Logpush

  1. Faça login no painel do Cloudflare.
  2. Selecione a conta corporativa ou o domínio que você quer usar com o Logpush.
  3. Acesse Análise e registros > Registros.
  4. Clique em Criar um job do Logpush.
  5. Em Selecionar um destino, escolha Destino HTTP.

  6. Insira o URL do endpoint HTTP com parâmetros de autenticação:

    <ENDPOINT_URL>?header_X-goog-api-key=<API_KEY>&header_X-Webhook-Access-Key=<SECRET_KEY>

    Substitua:

    • <ENDPOINT_URL>: o URL do endpoint do feed do Google SecOps.
    • <API_KEY>: a chave de API do console do Google Cloud (codificada por URL se tiver caracteres especiais).
    • <SECRET_KEY>: a chave secreta do feed do webhook (codificada por URL se tiver caracteres especiais).

  7. Clique em Continuar.

  8. Selecione o conjunto de dados que será enviado (por exemplo, Solicitações HTTP, Registros de DNS, Eventos de firewall, Registros de auditoria, Registros de Zero Trust, Descobertas do CASB).

  9. Configure o job do Logpush:

    • Insira o Nome do job.
    • Em Se os registros corresponderem, configure os filtros (opcional).
    • Em Enviar os seguintes campos, selecione os campos que serão incluídos.
    • Escolha o formato do carimbo de data/hora:
      • RFC 3339 (recomendado para o Google SecOps)
      • Unix (segundos desde a Era Unix)
      • UnixNano (nanossegundos desde a época)
    • Configure a taxa de amostragem, se necessário.

  10. Clique em Enviar para criar o job do Logpush.

Verificar a integração com o webhook

Após a configuração, os registros vão aparecer no Google SecOps em alguns minutos. Para verificar:

  1. Acesse Investigação > Pesquisa do SIEM.
  2. Pesquise registros com o rótulo de ingestão configurado.
  3. Confirme se os registros do Cloudflare estão sendo analisados corretamente.

Método 2: configurar a exportação de registros do Cloudflare usando o Google Cloud Storage

Criar um bucket do Google Cloud Storage

  1. Faça login no console do Google Cloud.
  2. Acesse a página Cloud Storage > Buckets.
  3. Clique em Criar.
  4. Na página Criar um bucket, insira as informações do seu bucket:
    • Nome: insira um nome exclusivo que atenda aos requisitos de nome de bucket (por exemplo, cloudflare-data).
    • Tipo de local: selecione um tipo de local e uma região.
    • Para ativar o namespace hierárquico, clique na seta de expansão para abrir Otimizar para cargas de trabalho orientadas a arquivos e com uso intensivo de dados e selecione Ativar namespace hierárquico neste bucket.
  5. Clique em Criar.

Conceder permissões do Cloudflare ao bucket

  1. No console do Cloud Storage, selecione o bucket do GCS (por exemplo, cloudflare-data).
  2. Clique na guia Permissões.
  3. Clique em Conceder acesso.
  4. No campo Adicionar participantes, insira logpush@cloudflare-data.iam.gserviceaccount.com.
  5. No menu suspenso Atribuir papéis, selecione Administrador de objetos do Storage.
  6. Clique em Salvar.

Configurar o Cloudflare Logpush para o Cloud Storage

  1. Faça login no painel do Cloudflare.
  2. Selecione a conta corporativa ou o domínio que você quer usar com o Logpush.
  3. Acesse Análise e registros > Registros.
  4. Clique em Criar um job do Logpush.
  5. Em Selecionar um destino, escolha Google Cloud Storage.
  6. Insira o caminho do bucket do GCS (por exemplo, cloudflare-data/logs/).

  7. Clique em Continuar.

  8. Insira o token de propriedade e clique em Continuar.

  9. Selecione o conjunto de dados que será enviado para o armazenamento.

  10. Configure o job do Logpush:

    • Insira o Nome do job.
    • Em Se os registros corresponderem, selecione os eventos que serão incluídos e/ou removidos dos registros.
    • Em Enviar os seguintes campos, escolha quais campos serão enviados.
    • Escolha o formato do carimbo de data/hora:
      • RFC 3339 (recomendado para o Google SecOps)
      • Unix (segundos desde a Era Unix)
      • UnixNano (nanossegundos desde a época)
    • Configure a taxa de amostragem, se necessário.

  11. Clique em Enviar.

Configurar um feed no Google SecOps para ingerir registros do Cloudflare do GCS

  1. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
  2. Clique em Adicionar novo feed.
  3. Clique em Configurar um único feed.
  4. No campo Nome do feed, insira um nome para o feed (por exemplo, Cloudflare GCS Logs).
  5. Selecione Google Cloud Storage V2 como o Tipo de origem.
  6. Selecione Cloudflare como o Tipo de registro.
  7. Clique em Get Service Account.
  8. Clique em Próxima.

  9. Especifique valores para os seguintes parâmetros de entrada:

    • URI do bucket de armazenamento: URL do bucket do Google Cloud Storage no formato gs://my-bucket/<value>/.

    • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência:

      • Nunca: nunca exclui arquivos após as transferências (recomendado para testes).
      • Excluir arquivos transferidos: exclui arquivos após a transferência.
      • Excluir arquivos transferidos e diretórios vazios: exclui arquivos e diretórios vazios após a transferência.

    • Idade máxima do arquivo: inclui arquivos modificados nos últimos dias. O padrão é 180 dias.

    • Namespace do recurso: o namespace do recurso.

    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed.

  10. Clique em Próxima.

  11. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.

Conceder permissões do IAM à conta de serviço do Google SecOps

  1. Acesse Cloud Storage > Buckets.
  2. Clique no nome do bucket (por exemplo, cloudflare-data).
  3. Acesse a guia Permissões.
  4. Clique em Conceder acesso.
  5. No campo Adicionar principais, cole o e-mail da conta de serviço do Google SecOps.
  6. No menu suspenso Atribuir papéis, selecione Leitor de objetos do Storage.
  7. Clique em Salvar.

Tabela de mapeamento de UDM

Campo de registro mapeamento de UDM Lógica
ClientIP read_only_udm.principal.asset.ip, read_only_udm.principal.ip O valor é extraído do campo ClientIP.
ClientRequestHost read_only_udm.target.asset.hostname, read_only_udm.target.hostname O valor é extraído do campo ClientRequestHost.
ClientRequestMethod read_only_udm.network.http.method O valor é extraído do campo ClientRequestMethod.
ClientRequestURI read_only_udm.target.url O valor é extraído do campo ClientRequestURI. Se o campo ClientRequestHost não estiver vazio, o valor será concatenado com o campo ClientRequestHost.
ClientSrcPort read_only_udm.principal.port O valor é extraído do campo ClientSrcPort.
ClientRequestUserAgent read_only_udm.network.http.user_agent O valor é extraído do campo ClientRequestUserAgent.
ClientSSLCipher read_only_udm.network.tls.cipher O valor é extraído do campo ClientSSLCipher.
ClientSSLProtocol read_only_udm.network.tls.version O valor é extraído do campo ClientSSLProtocol.
Country read_only_udm.target.location.country_or_region O valor é extraído do campo "País".
CreatedAt read_only_udm.metadata.event_timestamp O valor é extraído do campo CreatedAt.
Datetime read_only_udm.metadata.event_timestamp O valor é extraído do campo de data e hora.
DestinationIP read_only_udm.target.asset.ip, read_only_udm.target.ip O valor é extraído do campo DestinationIP.
DestinationPort read_only_udm.target.port O valor é extraído do campo DestinationPort.
DeviceID read_only_udm.principal.asset_id O valor é extraído do campo DeviceID e tem o prefixo "Cloudflare:".
DeviceName read_only_udm.principal.asset.hostname, read_only_udm.principal.hostname O valor é extraído do campo DeviceName.
DstIP read_only_udm.target.asset.ip, read_only_udm.target.ip O valor é extraído do campo DstIP.
DstPort read_only_udm.target.port O valor é extraído do campo DstPort.
EdgeResponseBytes read_only_udm.network.received_bytes O valor é extraído do campo EdgeResponseBytes.
EdgeResponseStatus read_only_udm.network.http.response_code O valor é extraído do campo EdgeResponseStatus.
EdgeServerIP read_only_udm.target.asset.ip, read_only_udm.target.ip O valor é extraído do campo EdgeServerIP.
Email read_only_udm.principal.user.email_addresses, read_only_udm.target.user.email_addresses O valor é extraído do campo "E-mail".
FirewallMatchesActions read_only_udm.security_result.action O valor será definido como "ALLOW" se o campo FirewallMatchesAction for "allow", "Allow", "ALLOW", "skip", "SKIP" ou "Skip", "ALLOW_WITH_MODIFICATION" se o campo FirewallMatchesAction for "challengeSolved" ou "jschallengeSolved", "BLOCK" se o campo FirewallMatchesAction for "drop" ou "block", "UNKNOWN_ACTION" se o campo FirewallMatchesAction não estiver vazio.
FirewallMatchesRuleIDs read_only_udm.security_result.rule_id O valor é extraído do campo FirewallMatchesRuleIDs.
FirewallMatchesSources read_only_udm.security_result.rule_name O valor é extraído do campo FirewallMatchesSources.
HTTPMethod read_only_udm.network.http.method O valor é extraído do campo HTTPMethod.
HTTPHost read_only_udm.target.hostname O valor é extraído do campo HTTPHost.
HTTPVersion read_only_udm.network.application_protocol O valor é extraído do campo HTTPVersion. Se o valor contiver "HTTP", ele será substituído por "HTTP".
IPAddress read_only_udm.target.asset.ip, read_only_udm.target.ip O valor é extraído do campo IPAddress.
IsIsolated read_only_udm.about.labels, read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo IsIsolated e convertido em uma string.
Location read_only_udm.principal.location.name O valor é extraído do campo "Local".
OriginIP read_only_udm.intermediary.ip, read_only_udm.target.asset.ip, read_only_udm.target.ip O valor é extraído do campo OriginIP.
OriginPort read_only_udm.target.port O valor é extraído do campo OriginPort.
OwnerID read_only_udm.target.user.product_object_id O valor é extraído do campo OwnerID.
Policy read_only_udm.security_result.rule_name O valor é extraído do campo "Política".
PolicyID read_only_udm.security_result.rule_id O valor é extraído do campo PolicyID.
PolicyName read_only_udm.security_result.rule_name O valor é extraído do campo PolicyName.
Protocol read_only_udm.network.ip_protocol O valor é extraído do campo "Protocolo" e convertido em letras maiúsculas.
QueryCategoryIDs read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo QueryCategoryIDs.
QueryName read_only_udm.network.dns.questions.name O valor é extraído do campo QueryName.
QueryNameReversed read_only_udm.network.dns.questions.name O valor é extraído do campo QueryNameReversed.
QuerySize read_only_udm.network.sent_bytes O valor é extraído do campo QuerySize.
QueryType read_only_udm.network.dns.questions.type O valor é extraído do campo QueryType. Se o valor for um dos tipos de registro DNS conhecidos, ele será mapeado para o valor numérico correspondente. Caso contrário, o valor é convertido em uma string.
RData read_only_udm.network.dns.answers O valor é extraído do campo RData. O campo de tipo é convertido em um número inteiro sem sinal.
RayID read_only_udm.metadata.product_log_id O valor é extraído do campo RayID.
Referer read_only_udm.network.http.referral_url O valor é extraído do campo Referer.
RequestID read_only_udm.metadata.product_log_id O valor é extraído do campo RequestID.
ResolverDecision read_only_udm.security_result.summary O valor é extraído do campo ResolverDecision.
ResourceID read_only_udm.target.resource.id, read_only_udm.target.resource.product_object_id O valor é extraído do campo ResourceID.
ResourceType read_only_udm.target.resource.resource_subtype O valor é extraído do campo ResourceType.
SNI read_only_udm.network.tls.client.server_name O valor é extraído do campo SNI.
SecurityAction read_only_udm.security_result.action O valor será definido como "ALLOW" se o campo SecurityAction ou sec_action estiver vazio, "ALLOW_WITH_MODIFICATION" se o campo SecurityAction for "challengeSolved" ou "jschallengeSolved" e "BLOCK" se o campo SecurityAction for "drop" ou "block".
SecurityLevel read_only_udm.security_result.severity O valor é extraído do campo SecurityLevel e mapeado para o valor de gravidade do UDM correspondente.
SessionID read_only_udm.network.session_id O valor é extraído do campo SessionID.
SessionStartTime read_only_udm.metadata.event_timestamp O valor é extraído do campo SessionStartTime.
SourceIP read_only_udm.principal.asset.ip, read_only_udm.principal.ip, read_only_udm.src.asset.ip, read_only_udm.src.ip O valor é extraído do campo SourceIP.
SourcePort read_only_udm.principal.port, read_only_udm.src.port O valor é extraído do campo SourcePort.
SrcIP read_only_udm.principal.asset.ip, read_only_udm.principal.ip O valor é extraído do campo SrcIP.
SrcPort read_only_udm.principal.port O valor é extraído do campo SrcPort.
TemporaryAccessDuration read_only_udm.network.session_duration.seconds O valor é extraído do campo TemporaryAccessDuration.
Timestamp read_only_udm.metadata.event_timestamp O valor é extraído do campo "Carimbo de data/hora".
Transport read_only_udm.network.ip_protocol O valor é extraído do campo "Transport" e convertido em letras maiúsculas.
URL read_only_udm.target.url O valor é extraído do campo de URL.
UserAgent read_only_udm.network.http.user_agent O valor é extraído do campo UserAgent.
UserID read_only_udm.principal.user.product_object_id O valor é extraído do campo UserID.
UserUID read_only_udm.target.user.product_object_id O valor é extraído do campo UserUID.
VirtualNetworkID read_only_udm.principal.resource.product_object_id O valor é extraído do campo VirtualNetworkID.
WAFAction read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFAction.
WAFAttackScore read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFAttackScore.
WAFFlags read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFFlags.
WAFProfile read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFProfile.
WAFRCEAttackScore read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFRCEAttackScore.
WAFRuleID read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels, read_only_udm.security_result.threat_id O valor é extraído do campo WAFRuleID.
WAFRuleMessage read_only_udm.security_result.rule_name, read_only_udm.security_result.threat_name O valor é extraído do campo WAFRuleMessage.
WAFSQLiAttackScore read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFSQLiAttackScore.
WAFXSSAttackScore read_only_udm.security_result.about.resource.attribute.labels O valor é extraído do campo WAFXSSAttackScore.
ZoneID read_only_udm.additional.fields O valor é extraído do campo ZoneID.
read_only_udm.metadata.log_type O valor é definido como "CLOUDFLARE".
read_only_udm.metadata.product_name O valor é definido como "Cloudflare Gateway DNS" se o registro for de DNS, "Cloudflare Gateway HTTP" se for de HTTP do Gateway, "Cloudflare Audit" se for um registro de auditoria ou "firewall de aplicativos da web" em outros casos.
read_only_udm.metadata.vendor_name O valor está definido como "Cloudflare".
read_only_udm.network.application_protocol O valor será definido como "DNS" se o registro for um registro de DNS, "HTTP" se o campo HTTPVersion contiver "HTTP" ou o valor do campo Protocolo convertido em maiúsculas se o campo Protocolo não estiver vazio e não for "tls" ou "TLS".
read_only_udm.network.direction O valor será definido como "OUTBOUND" se o campo EgressIP não estiver vazio.
read_only_udm.network.http.parsed_user_agent O valor é extraído do campo UserAgent ou ClientRequestUserAgent e analisado usando o filtro parseduseragent.
read_only_udm.extensions.auth.type O valor será definido como "MACHINE" se o campo "Action" for "login" ou "logout".
read_only_udm.metadata.event_type O valor será definido como "NETWORK_DNS" se o registro for um registro de DNS, "NETWORK_CONNECTION" se o registro for um registro HTTP de gateway, "USER_RESOURCE_ACCESS" se o registro for um registro de auditoria e os campos ActorIP e ActorEmail estiverem vazios, "USER_RESOURCE_UPDATE_CONTENT" se o registro for um registro de auditoria e os campos ResourceType e newvalue não estiverem vazios, "USER_LOGIN" se o campo Action for "login", "USER_LOGOUT" se o campo Action for "logout", "USER_RESOURCE_ACCESS" se o campo Email não estiver vazio e corresponder ao formato do endereço de e-mail ou "NETWORK_CONNECTION" se os campos EgressIP e SourceIP não estiverem vazios ou os campos OriginIP e SourceIP não estiverem vazios.
read_only_udm.target.file.mime_type O valor é extraído do campo EdgeResponseContentType.
read_only_udm.target.location.country_or_region O valor é extraído do campo "País".
read_only_udm.target.resource.id O valor é extraído do campo AccountID ou ResourceID.
read_only_udm.target.resource.product_object_id O valor é extraído do campo AccountID, AppUUID ou ResourceID.
read_only_udm.target.user.product_object_id O valor é extraído do campo OwnerID ou UserUID.
ConnectionCloseReason event.idm.read_only_udm.security_result.action_details Mapeado do registro de alterações
BytesReceived event.idm.read_only_udm.network.received_bytes Mapeado do registro de alterações
VirtualNetworkID event.idm.read_only_udm.principal.resource.product_object_id Mapeado do registro de alterações
VirtualNetworkName event.idm.read_only_udm.principal.resource.name Mapeado do registro de alterações
ApplicationIDs event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ApplicationStatuses event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ApplicationNames event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ApplicationName_index event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
CategoryIDs event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ForensicCopyStatus event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Quarantined event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
UntrustedCertificateAction event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RegistrationID event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
HTTPVersion event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ApplicationNames event.idm.read_only_udm.target.application Mapeado do registro de alterações
BlockedFileReason event.idm.read_only_udm.security_result.summary Mapeado do registro de alterações
CategoryNames event.idm.read_only_udm.security_result.category_details Mapeado do registro de alterações
DestinationIPCountryCode event.idm.read_only_udm.target.location.country_or_region Mapeado do registro de alterações
SourceIPCountryCode event.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de alterações
HTTPStatusCode event.idm.read_only_udm.network.http.response_code Mapeado do registro de alterações
SourceIPContinentCode event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
DestinationIPContinentCode event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
SourceInternalIP event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
ActionInfo event.idm.read_only_udm.security_result.summary Mapeado do registro de alterações
ActorType event.idm.read_only_udm.principal.user.attribute.labels Mapeado do registro de alterações
ActorEmail event.idm.read_only_udm.principal.user.userid Mapeado do registro de alterações
CacheReserveUsed event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
CacheTieredFill event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgeCFConnectingO2O event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgePathingOp event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgePathingSrc event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgePathingStatus event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgeResponseBodyBytes event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgeResponseCompressionRatio event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
OriginResponseDurationMs event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
OriginResponseHeaderReceiveDurationMs event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ClientRequestScheme event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ClientASN event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Ref event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Source event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
EdgeColoCode event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ClientASNDescription event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ClientIPClass event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ClientRequestHost event.idm.read_only_udm.src.hostname Mapeado do registro de alterações
ClientRequestPath event.idm.read_only_udm.src.file.full_path Mapeado do registro de alterações
ClientUserAgent event.idm.read_only_udm.network.http.user_agent Mapeado do registro de alterações
Description event.idm.read_only_udm.security_result.description Mapeado do registro de alterações
Kind event.idm.read_only_udm.principal.application Mapeado do registro de alterações
RayID event.idm.read_only_udm.network.session_id Mapeado do registro de alterações
client_request_proto event.idm.read_only_udm.network.application_protocol Mapeado do registro de alterações
version event.idm.read_only_udm.network.application_protocol_version Mapeado do registro de alterações
log.Application", "log.ClientAsn", "log.ColoCode", "log.OriginProto", "log.Status" and "log.ProxyProtocol additional.fields Mapeado do registro de alterações
log.ClientBytes network.sent_bytes Mapeado do registro de alterações
log.ClientCountry principal.location.country_or_region Mapeado do registro de alterações
log.ClientIP principal.ip and principal.asset.ip Mapeado do registro de alterações
log.ClientMatchedIpFirewall security_result.detection_fields Mapeado do registro de alterações
log.ClientPort principal.port Mapeado do registro de alterações
log.ClientProto network.ip_protocol Mapeado do registro de alterações
log.Event security_result.detection_fields Mapeado do registro de alterações
log.OriginBytes security_result.detection_fields Mapeado do registro de alterações
log.OriginIP intermediary.ip Mapeado do registro de alterações
log.OriginPort intermediary.port Mapeado do registro de alterações
log.IpFirewall security_result.detection_fields Mapeado do registro de alterações
log.Timestamp metadata.event_timestamp Mapeado do registro de alterações
log.ConnectTimestamp security_result.detection_fields Mapeado do registro de alterações
log.DisconnectTimestamp security_result.detection_fields Mapeado do registro de alterações
AppDomain target.administrative_domain Mapeado do registro de alterações
Connection target.resource.attribute.labels Mapeado do registro de alterações
metadata.event_type USER_UNCATEGORIZED Mapeado do registro de alterações
IPSourceAddress principal.ip Mapeado do registro de alterações
IPDestinationAddress target.ip Mapeado do registro de alterações
IPProtocol network.ip_protocol Mapeado do registro de alterações
IPDestinationSubnet", "DestinationASNNAME", "DestinationASN", and "DestinationGeoHash target.resource.attribute.labels Mapeado do registro de alterações
IPSourceSubnet", "SourceASNNAME", "SourceASN", and "SourceGeoHash principal.resource.attribute.labels Mapeado do registro de alterações
SourceCountry principal.location.country_or_region Mapeado do registro de alterações
DestinationCountry target.location.country_or_region Mapeado do registro de alterações
ColoCity", "ColoCode", "ColoCountry", "ColoGeoHash", "ColoName", "GREChecksum", "GREEtherType", "GREHeaderLength", "GREKey", "GRESequenceNumber", and "GREVersion additional.fields Mapeado do registro de alterações
ICMPChecksum", "ICMPType", "ICMPCode", "IPProtocol", "ProtocolState", "IPTTL", "IPTTLBuckets", "IPTotalLength", "IPTotalLengthBuckets", "IPv4Checksum", "IPv4DSCP", "IPv4DontFragment", "IPv4ECN", "IPv4Identification", "IPv6DSCP", "IPv6ECN", "IPv6FlowLabel", and "IPv6Identification additional.fields Mapeado do registro de alterações
MitigationScope", "MitigationSystem", "SampleInterval", "TCPAcknowledgementNumber", "TCPChecksum", "TCPDataOffset", "TCPFlags", "TCPFlagsString", "TCPMSS", "TCPSACKPermitted", "TCPSequenceNumber", "TCPTimestampECR", "TCPTimestampValue", "TCPUrgentPointer", "TCPWindowScale", "TCPWindowSize", "UDPChecksum", "UDPPayloadLength", and "Verdict additional.fields Mapeado do registro de alterações
AttackCampaignID", "AttackID", and "AttackVector additional.fields Mapeado do registro de alterações
RuleName security_result.rule_name Mapeado do registro de alterações
RulesetID" and "RulesetOverrideID security_result_detection_fields Mapeado do registro de alterações
ClientVersion metadata.product_version Mapeado do registro de alterações
DeviceManufacturer principal.asset.hardware Mapeado do registro de alterações
DeviceModel principal.asset.hardware Mapeado do registro de alterações
DeviceName principal.asset.attribute.labels Mapeado do registro de alterações
DeviceSerialNumber principal.resource.attribute.labels Mapeado do registro de alterações
DeviceType principal.resource.name Mapeado do registro de alterações
OSVersion principal.platform_version Mapeado do registro de alterações
PostureCheckName additional.fields Mapeado do registro de alterações
PostureCheckType additional.fields Mapeado do registro de alterações
PostureEvaluatedResult additional.fields Mapeado do registro de alterações
PostureExpectedJSON.os security_result.detection_fields Mapeado do registro de alterações
PostureExpectedJSON.operator security_result.detection_fields Mapeado do registro de alterações
PostureExpectedJSON.connection_id security_result.detection_fields Mapeado do registro de alterações
PostureReceivedJSON.os security_result.detection_fields Mapeado do registro de alterações
PostureReceivedJSON.overall security_result.detection_fields Mapeado do registro de alterações
PostureReceivedJSON.version security_result.detection_fields Mapeado do registro de alterações
PostureReceivedJSON.state security_result.detection_fields Mapeado do registro de alterações
PostureReceivedJSON.last_seen date Mapeado do registro de alterações
ClientRequestSource additional.fields Mapeado do registro de alterações
SecurityActions", "SecurityRuleIDs", and "SecuritySources additional.fields Mapeado do registro de alterações
SecurityAction", "SecurityRuleID security_result.about.resource.attribute.labels Mapeado do registro de alterações
SecurityRuleID security_result.threat_id Mapeado do registro de alterações
SecurityRuleDescription security_result.threat_name Mapeado do registro de alterações
metadata.event_type GENERIC_EVENT Mapeado do registro de alterações
ClientRequestURI target.uri Mapeado do registro de alterações
BotScore security_result.detection_fields Mapeado do registro de alterações
WAFRCEAttackScore", "WAFSQLiAttackScore", "WAFXSSAttackScore", "WAFAttackScore", "WAFFlags security_result.about.resource.attribute.labels Mapeado do registro de alterações
AssetExternalID principal.asset_id Mapeado do registro de alterações
AssetDisplayName principal.asset.attribute.labels Mapeado do registro de alterações
AssetLink principal.url Mapeado do registro de alterações
AssetMetadata.userKey principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.clientId principal.user.userid Mapeado do registro de alterações
AssetMetadata.anonymous security_result.detection_fields Mapeado do registro de alterações
AssetMetadata.nativeApp security_result.detection_fields Mapeado do registro de alterações
DetectedTimestamp metadata.event_timestamp Mapeado do registro de alterações
FindingTypeDisplayName security_result.description Mapeado do registro de alterações
FindingTypeID security_result.rule_id Mapeado do registro de alterações
FindingTypeSeverity security_result.severity Mapeado do registro de alterações
InstanceID principal.resource.product_object_id Mapeado do registro de alterações
IntegrationDisplayName additional.fields Mapeado do registro de alterações
IntegrationID metadata.product_deployment_id Mapeado do registro de alterações
IntegrationPolicyVendor additional.fields Mapeado do registro de alterações
AssetMetadata.customerId principal.user.userid Mapeado do registro de alterações
AssetMetadata.primaryEmail principal.user.email_addresses Mapeado do registro de alterações
AssetMetadata.agreedToTerms principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.ipWhitelisted principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.lastLoginTime principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.isEnforcedIn2Sv principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.isEnrolledIn2Sv principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.isDelegatedAdmin principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.changePasswordAtNextLogin principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.includeInGlobalAddressList principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.isAdmin principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.suspended principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.url principal.url Mapeado do registro de alterações
AssetMetadata.site_admin principal.user.attribute.labels Mapeado do registro de alterações
AssetMetadata.login principal.user.userid Mapeado do registro de alterações
AssetMetadata.owner.id principal.user.userid Mapeado do registro de alterações
AssetMetadata.name.fullName principal.user.user_display_name Mapeado do registro de alterações
AssetMetadata.name.givenName principal.user.first_name Mapeado do registro de alterações
AssetMetadata.name.familyName principal.user.last_name Mapeado do registro de alterações
Allowed security_result.action Mapeado do registro de alterações
BytesReceived network.received_bytes Mapeado do registro de alterações
BytesSent network.sent_bytes Mapeado do registro de alterações
ClientTCPHandshakeDurationMs additional.fields Mapeado do registro de alterações
ClientTLSCipher network.tls.cipher Mapeado do registro de alterações
ClientTLSHandshakeDurationMs additional.fields Mapeado do registro de alterações
ClientTLSVersion network.tls.version Mapeado do registro de alterações
ConnectionCloseReason additional.fields Mapeado do registro de alterações
ConnectionReuse additional.fields Mapeado do registro de alterações
DestinationTunnelID additional.fields Mapeado do registro de alterações
EgressPort principal.port Mapeado do registro de alterações
EgressRuleID additional.fields Mapeado do registro de alterações
EgressRuleName additional.fields Mapeado do registro de alterações
IngressColoName additional.fields Mapeado do registro de alterações
Offramp additional.fields Mapeado do registro de alterações
OriginTLSCertificateIssuer additional.fields Mapeado do registro de alterações
OriginTLSCertificateValidationResult additional.fields Mapeado do registro de alterações
OriginTLSCipher additional.fields Mapeado do registro de alterações
OriginTLSHandshakeDurationMs additional.fields Mapeado do registro de alterações
OriginTLSVersion additional.fields Mapeado do registro de alterações
RuleEvaluationDurationMs additional.fields Mapeado do registro de alterações
SessionEndTime additional.fields Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.