Raccogli i log PAM di CyberArk

Versione parser: 11.0

Supportata in:

Questo documento spiega come importare i log di CyberArk PAM (Privileged Access Manager) in Google Security Operations utilizzando Bindplane. CyberArk PAM protegge, gestisce e monitora le credenziali con privilegi negli ambienti on-premise e cloud. Fornisce un vault digitale per l'archiviazione delle credenziali degli account con privilegi, l'isolamento e il monitoraggio delle sessioni, la rotazione automatizzata delle password e log di controllo dettagliati per tutte le attività di accesso con privilegi.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Un host Windows 2016 o versioni successive o Linux con systemd.
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso con privilegi a CyberArk PAM Vault e PVWA (Password Vault Web Access) con autorizzazioni amministrative.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea service account.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
  7. Fai clic su Continua e poi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CYBERARK_PAM'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
  • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
  • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
  • Sostituisci <PLACEHOLDER_CUSTOMER_ID> con l'ID cliente effettivo.
  • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore dell'API di importazione precedente

  • Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CYBERARK_PAM'
    raw_log_field: body
    ingestion_labels:

Riavvia l'agente Bindplane per applicare le modifiche

  1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configura l'inoltro del syslog di CyberArk PAM

CyberArk PAM invia i dati di controllo a un SIEM tramite l'integrazione syslog di Vault configurata nel file dbparm.ini.

Configura il server Vault

  1. Accedi al server CyberArk Vault con privilegi amministrativi.

  2. Vai alla directory di installazione di Vault e apri il file dbparm.ini:

    • Percorso predefinito (Windows): C:\Program Files (x86)\PrivateArk\Server\Conf\dbparm.ini
    • Percorso predefinito (Linux): /opt/CARKaim/vault/Conf/dbparm.ini

  3. Aggiungi o modifica i seguenti parametri di configurazione di syslog in dbparm.ini:

    SyslogTranslatorFile=Syslog\CASP.xsl
SyslogServerIP=<BINDPLANE_AGENT_IP>
SyslogServerPort=514
SyslogServerProtocol=TCP
SyslogMessageCodeFilter=0-999
UseSyslogFormat=Yes
SyslogSendAuditAsJSON=Yes

  4. Sostituisci <BINDPLANE_AGENT_IP> con l'indirizzo IP dell'host dell'agente Bindplane (ad esempio 192.168.1.100).

Riferimento ai parametri di configurazione

Parametro Valore Descrizione
SyslogTranslatorFile Syslog\CASP.xsl File di traduzione XSL per il formato syslog
SyslogServerIP IP dell'agente Bindplane Indirizzo IP del ricevitore syslog
SyslogServerPort 514 Numero di porta per syslog (corrispondente alla configurazione di Bindplane)
SyslogServerProtocol TCP Protocollo di trasporto (TCP consigliato per una distribuzione affidabile)
SyslogMessageCodeFilter 0-999 Intervallo di codici dei messaggi da inoltrare (0-999 = tutti)
UseSyslogFormat Yes Invia i log nel formato syslog standard
SyslogSendAuditAsJSON Yes Inviare i record di controllo in formato JSON per una migliore analisi

Riavvia il servizio Vault

  1. Dopo aver modificato dbparm.ini, riavvia il servizio CyberArk Vault:

    • Windows: apri la console Servizi, trova CyberArk Vault, fai clic con il tasto destro del mouse e seleziona Riavvia.
    • Linux: esegui questo comando:
    sudo systemctl restart vault

  2. Verifica che i log vengano ricevuti controllando i log dell'agente Bindplane:

    sudo journalctl -u observiq-otel-collector -f

(Facoltativo) Configura l'audit logging di PVWA

Per inoltrare i log delle attività di PVWA (Password Vault Web Access):

  1. Accedi all'interfaccia web PVWA come amministratore.
  2. Vai ad Amministrazione > Opzioni > Audit.
  3. Verifica che l'opzione Invia messaggi syslog sia attiva.
  4. PVWA utilizza la configurazione syslog del Vault da dbparm.ini.

Per saperne di più sull'integrazione di CyberArk PAM syslog, consulta la documentazione di CyberArk PAM.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
Vendor metadata.vendor_name Imposta su "CyberArk".
Product metadata.product_name Imposta su "PAM" o "Vault".
Version metadata.product_version La versione di CyberArk PAM.
MessageID metadata.product_event_type Il codice dell'azione di controllo.
Message metadata.description Il messaggio di controllo leggibile.
Severity security_result.severity Mappato dal livello di gravità di CyberArk.
Issuer principal.user.userid L'utente che ha eseguito l'azione.
Station principal.ip L'indirizzo IP di origine della sessione.
SourceUser principal.user.userid L'utente di origine che avvia l'azione.
TargetUser target.user.userid L'account con privilegi di destinazione.
SafeName target.resource.name La cassaforte CyberArk contenente la credenziale.
AccountName target.resource.attribute.labels Il nome dell'account con privilegi.
Address target.hostname Il nome host o l'indirizzo del sistema di destinazione.
PolicyID security_result.rule_name L'ID della policy della piattaforma.
Reason security_result.description Il motivo fornito per l'azione.
RequestID network.session_id L'ID della richiesta con doppio controllo.
GatewayStation intermediary.ip L'indirizzo IP del gateway PSM.
Timestamp metadata.event_timestamp Il timestamp dell'evento.
Command event.idm.read_only_udm.target.process.command_line Mappato dal log delle modifiche
User event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
syslog.audit_record.TargetUser event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
syslog.audit_record.TargetUser event.idm.read_only_udm.target.user.attribute.labels Mappato dal log delle modifiche
SrcHost event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
DstHost event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
ProcessName event.idm.read_only_udm.target.process.file.names Mappato dal log delle modifiche
SessionID event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
Protocol event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
syslog.audit_record.Issuer event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
syslog.audit_record.SourceUser event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
syslog.audit_record.SourceUser event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
syslog.audit_record.Action event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
syslog.audit_record.Version event.idm.read_only_udm.metadata.product_version Mappato dal log delle modifiche
syslog.audit_record.Severity event.idm.read_only_udm.security_result.severity Mappato dal log delle modifiche
syslog.audit_record.Severity event.idm.read_only_udm.security_result.severity_details Mappato dal log delle modifiche
syslog.audit_record.Location event.idm.read_only_udm.principal.location.country_or_region Mappato dal log delle modifiche
syslog.audit_record.Message event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
syslog.audit_record.CAProperties.CAProperty event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
format event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.Rfc5424 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.Timestamp event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.IsoTimestamp event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.Hostname event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.Vendor event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.Product event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog.audit_record.RequestId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
PSMID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs2 event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
event_data.created event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
host event.idm.read_only_udm.intermediary.hostname e event.idm.read_only_udm.intermediary.asset.hostname Mappato dal log delle modifiche
dvc event.idm.read_only_udm.intermediary.asset.ip Mappato dal log delle modifiche
dvc event.idm.read_only_udm.intermediary.hostname e event.idm.read_only_udm.intermediary.asset.hostname Mappato dal log delle modifiche
PSMID event.idm.read_only_udm.principal.hostname Mappato dal log delle modifiche
PSMID event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
GatewayStation event.idm.read_only_udm.target.ip Mappato dal log delle modifiche
GatewayStation event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
reason event.idm.read_only_udm.target.process.file.full_path Mappato dal log delle modifiche
ApplicationType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RDPOffset event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
VIDOffset event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ConnectionComponentId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProcessId event.idm.read_only_udm.target.process.pid Mappato dal log delle modifiche
leef_version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
leef_event_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
inter_host event.idm.read_only_udm.intermediary.hostname Mappato dal log delle modifiche
EventMessage event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
src event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
usrName event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
Reason event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
Category event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
sev event.idm.read_only_udm.security_result.severity e event.idm.read_only_udm.security_result.severity_details Mappato dal log delle modifiche
address event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
Safe event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
username event.idm.read_only_udm.target.user.user_display_name Mappato dal log delle modifiche
logondomain event.idm.read_only_udm.principal.administrative_domain Mappato dal log delle modifiche
devicetype event.idm.read_only_udm.principal.resource.resource_subtype Mappato dal log delle modifiche
header_host event.idm.read_only_udm.src.hostname Mappato dal log delle modifiche
Ticket_ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Ticketing_System event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Ticketing_Audit_Safe event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Action event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
msg event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
name event.idm.read_only_udm.principal.resource.name Mappato dal log delle modifiche
policyid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
msg event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
actionType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
action event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
auditType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.app_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.end_time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.is_internal_application event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.scopes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.start_time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.token_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.user_guid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
identityType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tenantId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
component event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
serviceName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.ephemeral_user event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.access_method event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.assigned_domain_groups event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.assigned_groups event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.authentication_methods event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.connection_string event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.DPA.maximum_session_duration event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.deny_by_user event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.mfa_reason event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.factors event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.auth_method event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.entity_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
customData.mfa_initiator event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
safe event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cloudAssets event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cloudIdentities event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cloudResources event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
applicationCode event.idm.read_only_udm.target.application Mappato dal log delle modifiche
auditCode event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
userId event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
username event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
cloudProvider event.idm.read_only_udm.principal.cloud.environment Mappato dal log delle modifiche
customData.client event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
uuid event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
source event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
source event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
accessMethod event.idm.read_only_udm.extensions.auth.auth_details Mappato dal log delle modifiche
accountId event.idm.read_only_udm.principal.user.product_object_id Mappato dal log delle modifiche
sessionId event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
target event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
target event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
targetPlatform event.idm.read_only_udm.target.labels Mappato dal log delle modifiche
customData.DPA.source_hostname event.idm.read_only_udm.principal.hostname Mappato dal log delle modifiche
customData.DPA.source_hostname event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
customData.DPA.source_user event.idm.read_only_udm.principal.user.attributes.labels Mappato dal log delle modifiche
customData.DPA.target_machine event.idm.read_only_udm.target.labels Mappato dal log delle modifiche
customData.entity_name event.idm.read_only_udm.principal.hostname Mappato dal log delle modifiche
customData.entity_name event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
customData.geoip_latitude event.idm.read_only_udm.principal.location.region_latitude Mappato dal log delle modifiche
customData.geoip_longitude event.idm.read_only_udm.principal.location.region_longitude Mappato dal log delle modifiche
customData.geoip_city_name event.idm.read_only_udm.principal.location.city Mappato dal log delle modifiche
customData.mfa_result event.idm.read_only_udm.security_result.action Mappato dal log delle modifiche
customData.geoip_country_name event.idm.read_only_udm.principal.location.country_or_region Mappato dal log delle modifiche
customData.request_device_os event.idm.read_only_udm.principal.asset.platform_software.platform Mappato dal log delle modifiche
customData.request_broswer_name event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
customData.geoip_country_code event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
accountName event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
targetAccount event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
customData.PAM.new_target event.idm.read_only_udm.target.user.attribute.labels Mappato dal log delle modifiche
customData.PAM.target event.idm.read_only_udm.target.file.full_path Mappato dal log delle modifiche
customData.directory_service_id event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
customData.user_id event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
customData.user_name event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
customData.mfa_initiator event.idm.read_only_udm.extensions.auth.type Mappato dal log delle modifiche
signature_id metadata.product_event_type Mappato dal log delle modifiche
app target.application Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.