CyberArk-Logs erfassen

Parserversion:8.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie CyberArk-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

CyberArk Privileged Access Manager (PAM) ist eine Sicherheitslösung für den privilegierten Zugriff auf Unternehmensebene, mit der privilegierte Konten und Anmeldedaten in lokalen und Cloud-Umgebungen gesichert, verwaltet und überwacht werden. Es bietet die Speicherung von Anmeldedaten, die Isolierung und Überwachung von Sitzungen, die Erkennung von Bedrohungen durch Privileged Threat Analytics (PTA) und eine umfassende Audit-Protokollierung aller privilegierten Aktivitäten.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem CyberArk Vault-Server
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf den CyberArk Vault Server (Zugriff auf den Installationsordner Server\Conf)
  • CyberArk Vault Version 10.0 oder höher

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
  12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienststatus sollte RUNNING lauten.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienststatus sollte Aktiv (wird ausgeführt) lauten.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent so konfigurieren, dass er Syslog-Daten aufnimmt und an Google SecOps sendet

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  1. Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cyberark:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id'
    endpoint: chronicle.googleapis.com
    log_type: CYBERARK
    raw_log_field: body

service:
  pipelines:
    logs/cyberark_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cyberark

  2. Ersetzen Sie die folgenden Platzhalter:

    • Empfängerkonfiguration:

      • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:

        • 0.0.0.0:514, um alle Schnittstellen auf Port 514 zu überwachen (erfordert Root-Zugriff unter Linux)
        • 0.0.0.0:1514, um einen nicht privilegierten Port zu überwachen (empfohlen für Linux-Nicht-Root)

      • Optionen für den Empfängertyp:

        • udplog für UDP-Syslog (Standard für CyberArk Vault)
        • tcplog für TCP-Syslog
        • Verwenden Sie tcplog, wenn CyberArk Vault mit SyslogServerProtocol=TCP konfiguriert ist.

    • Exporter-Konfiguration:

      • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):

        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • customer_id: Google SecOps-Kundennummer

      • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.

      • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.

      • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Exporter für die Legacy Ingestion API

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/cyberark:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CYBERARK
    raw_log_field: body

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • So starten Sie den Bindplane-Agenten unter Linux neu:

    1. Führen Sie dazu diesen Befehl aus:

      sudo systemctl restart observiq-otel-collector

    2. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    3. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • So starten Sie den Bindplane-Agent unter Windows neu:

    1. Wählen Sie eine der folgenden Optionen aus:

      • Eingabeaufforderung oder PowerShell als Administrator:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • Dienstkonsole:

        1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
        2. Suchen Sie nach observIQ OpenTelemetry Collector.
        3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    2. Prüfen Sie, ob der Dienst ausgeführt wird:

      sc query observiq-otel-collector

    3. Prüfen Sie die Logs auf Fehler:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

CyberArk-Syslog-Weiterleitung konfigurieren

CyberArk Vault sendet Audit-Ereignisse im CEF-Format (Common Event Format) über Syslog. Der Vault-Server konvertiert XML-Prüfprotokolle mithilfe einer XSL-Übersetzerdatei in CEF-Nachrichten und leitet sie dann an den Bindplane-Agent weiter.

Vault-Server für das Senden von Syslog konfigurieren

  1. Melden Sie sich mit Administratorberechtigungen auf dem Hostcomputer des CyberArk Vault-Servers an.
  2. Rufen Sie den Installationsordner des CyberArk Vault-Servers auf (z. B. `C:\Programme (x86)\PrivateArk\Server\Conf`).
  3. Öffnen Sie die Datei DBParm.ini in einem Texteditor.
  4. Kopieren Sie den Abschnitt [SYSLOG] aus der Datei DBParm.sample.ini (im selben Ordner) und fügen Sie ihn am Ende von DBParm.ini ein.

  5. Konfigurieren Sie im Abschnitt [SYSLOG] die folgenden Syslog-Parameter:

    [SYSLOG]
SyslogServerIP=<BINDPLANE_AGENT_IP>
SyslogServerPort=514
SyslogServerProtocol=UDP
UseLegacySyslogFormat=No
SyslogTranslatorFile=Syslog\Arcsight.sample.xsl
SyslogMessageCodeFilter=0-999

  6. Ersetzen Sie die folgenden Werte:

    • SyslogServerIP: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
    • SyslogServerPort: Geben Sie den Port ein, der dem Bindplane-Agenten listen_address entspricht (z. B. 514).

    • SyslogServerProtocol: Wählen Sie das Protokoll aus:

      • UDP für UDP-Syslog (Standard)
      • TCP für TCP-Syslog

    • SyslogTranslatorFile: Geben Sie die XSL-Übersetzerdatei für das CEF-Format ein:

      • Syslog\Arcsight.sample.xsl für die Standard-CEF-Ausgabe (empfohlen)

    • SyslogMessageCodeFilter: Geben Sie die Nachrichtencodes ein, die weitergeleitet werden sollen:

      • 0-999, um alle Ereignisse weiterzuleiten
      • Geben Sie einzelne Codes oder Bereiche (z. B. 1,2,3,5-10,30) an, um nach bestimmten Ereignissen zu filtern.

    • UseLegacySyslogFormat: Auf No für das RFC 5424-Format festlegen.

  7. Speichern Sie die Datei DBParm.ini.

  8. Starten Sie den Dienst PrivateArk Server neu:

    1. Öffnen Sie die Windows-Dienste (services.msc).
    2. Suchen Sie den Dienst CyberArk Vault Disaster Recovery und beenden Sie ihn, falls er ausgeführt wird.
    3. Suchen Sie den Dienst PrivateArk Server.
    4. Rechtsklicken Sie und wählen Sie Neu starten aus.
    5. Starten Sie den Dienst CyberArk Vault Disaster Recovery (falls zutreffend) neu.

Syslog an mehrere Ziele weiterleiten

  • Wenn Sie Vault-Syslog-Ereignisse sowohl an den Bindplane-Agent als auch an andere Ziele (z. B. PTA) weiterleiten möchten, geben Sie mehrere IP-Adressen und Übersetzerdateien durch Kommas getrennt an:

    SyslogServerIP=<BINDPLANE_AGENT_IP>,<PTA_SERVER_IP>
SyslogTranslatorFile=Syslog\Arcsight.sample.xsl,Syslog\PTA.xsl

Syslog-Weiterleitung für Privileged Threat Analytics (PTA) konfigurieren (optional)

Wenn Sie auch PTA-Sicherheitswarnungen an Google SecOps weiterleiten möchten, konfigurieren Sie die PTA-SIEM-Integration:

  1. Melden Sie sich in der PVWA-Konsole (Password Vault Web Access) an.
  2. Gehen Sie zu Verwaltung> Konfigurationsoptionen> Privileged Threat Analytics.
  3. Konfigurieren Sie im Abschnitt SIEM Folgendes:
    • Syslog-Server-IP: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
    • Syslog-Serverport: Geben Sie den Port ein, der der Bindplane-Agent-Konfiguration entspricht (z. B. 514).
    • Protokoll: Wählen Sie UDP oder TCP aus, um den Bindplane-Agent-Empfänger abzugleichen.
    • Format: Wählen Sie CEF aus.
  4. Klicken Sie auf Speichern.

Verfügbare XSL-Übersetzerdateien

  • Der Unterordner Syslog im Installationsordner des CyberArk-Servers enthält Beispiel-XSL-Übersetzerdateien:

    Übersetzerdatei Format Beschreibung
    Arcsight.sample.xsl CEF Standard-CEF-Format (empfohlen für Google SecOps)
    SplunkCIM.xsl CIM Splunk Common Information Model-Format
    PTA.xsl Benutzerdefiniert Format für die Weiterleitung an CyberArk PTA
    XSIAM.xsl CEF Palo Alto Cortex XSIAM-Format

Syslog-Weiterleitung prüfen

  1. Führen Sie nach dem Neustart des PrivateArk Server-Dienstes eine Testaktion im Vault aus, z. B. ein Passwort abrufen oder sich bei PVWA anmelden.
  2. Prüfen Sie die Bindplane-Agent-Logs auf eingehende Syslog-Nachrichten:
    • Linux: sudo journalctl -u observiq-otel-collector -f
    • Windows: type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. Prüfen Sie, ob in den Logs Nachrichten im CEF-Format angezeigt werden, z. B.:

    CEF:0|Cyber-Ark|Vault|10.0|22|CPM password retrieved|5|suser=Administrator src=10.0.0.1 fname=Root\operating system-server1-admin

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
RequestId_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
Category_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
ExtraDetails_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
CAPolicy_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
line_number_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
pasvc_action_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
control_socket_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
data_socket_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
timeout_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
vault_name_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
class_name_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
status_label additional.fields Als Schlüssel/Wert-Paar zugeordnet
Publisher_Event additional.fields Als Schlüssel/Wert-Paar zugeordnet
Last_Event additional.fields Als Schlüssel/Wert-Paar zugeordnet
Total_Events additional.fields Als Schlüssel/Wert-Paar zugeordnet
cs1_var additional.fields Als Schlüssel/Wert-Paar zugeordnet
cs3_var additional.fields Als Schlüssel/Wert-Paar zugeordnet
app_var additional.fields Als Schlüssel/Wert-Paar zugeordnet
reason_var additional.fields Als Schlüssel/Wert-Paar zugeordnet
cs5_var additional.fields Als Schlüssel/Wert-Paar zugeordnet
cs4_var additional.fields Als Schlüssel/Wert-Paar zugeordnet
_auth_mechanism extensions.auth.mechanism Direkt zusammengeführt
dvc intermediary.ip Wenn der Wert dem IP-Adressmuster entspricht
EventName metadata.description Wenn der Prozess nicht dem EXE-Muster entspricht
handeln metadata.description Wenn fname leer ist
EventMessage metadata.description Wenn „act“ leer ist
LastEventDate metadata.event_timestamp Konvertiert im ISO8601- oder yyyy-MM-ddTHH:mm:ss-Format
_temp_datetime metadata.event_timestamp Konvertiert im Format TT/MM/JJJJ HH:mm:ss
Datum/Uhrzeit metadata.event_timestamp Konvertiert im ISO8601- oder MMM d HH:mm:ss-Format
_event_type metadata.event_type Direkt umbenannt
Name metadata.event_type Wird basierend auf Bedingungen festgelegt: FILE_CREATION für „Datei speichern“, USER_LOGIN für „Anmelden“, NETWORK_CONNECTION, wenn has_principal und has_target, FILE_UNCATEGORIZED, wenn has_target_file_details, PROCESS_UNCATEGORIZED, wenn has_target_process_details, STATUS_UPDATE, wenn nur has_principal, NETWORK_UNCATEGORIZED, wenn app_error und has_principal und has_target, andernfalls GENERIC_EVENT
EventType metadata.product_event_type Direkt zugeordnet
signature_id, name metadata.product_event_type Aus „signature_id“ und „name“ verkettet
LastEventID metadata.product_log_id In String umgewandelt
tid metadata.product_log_id Direkt zugeordnet
Produkt metadata.product_name Direkt umbenannt
Version metadata.product_version Direkt umbenannt
vendor metadata.vendor_name Direkt umbenannt
Host observer.hostname Direkt zugeordnet
LastEventUserName principal.administrative_domain Mit dem Grok-Muster „domain\user“ extrahiert
ApplicationType principal.application Direkt zugeordnet
shost principal.asset.hostname Wenn der Wert nicht dem IP-Adressmuster entspricht
shost principal.asset.hostname Fallback, wenn „dhost“ leer ist
shost principal.asset.ip Wenn der Wert dem IP-Adressmuster entspricht
src principal.asset.ip Direkt zugeordnet
ip_address principal.asset.ip Direkt zugeordnet
shost principal.asset.ip Fallback, wenn dhost leer ist
shost principal.ip Wenn der Wert dem IP-Adressmuster entspricht, wird er zusammengeführt.
src principal.ip Direkt zusammengeführt
ip_address principal.ip Direkt zusammengeführt
Standort principal.location.name Direkt zugeordnet
LastEventSourceName principal.platform Auf WINDOWS setzen, wenn der Wert dem Windows-Muster entspricht
EventName principal.process.command_line Wenn der Prozess dem EXE-Muster entspricht
LastEventPackageName principal.resource.name Wenn der Wert nicht „EventName“ ist
ApplicationType principal.user.attribute.roles Auf ADMINISTRATOR festlegen, wenn der Wert AdminTask ist
LastEventUserName principal.user.user_display_name Nutzerteil mit dem Grok-Muster „domain\user“ extrahiert
user_name principal.user.user_display_name Direkt zugeordnet
SourceUser principal.user.userid Direkt zugeordnet
suser principal.user.userid Wenn das Ereignis nicht vom Typ USER_ ist
usrName principal.user.userid Direkt zugeordnet
_action security_result.action Direkt zusammengeführt
Name security_result.action Auf BLOCK setzen, wenn der Wert mit „Failure“ oder „Failed“ beginnt, andernfalls ALLOW
msg security_result.description Direkt zugeordnet
msg, reason security_result.description Verkettet aus „msg“ und „reason“, wenn die Fehlerbedingung erfüllt ist
_sec_result_description security_result.description Direkt zugeordnet
PolicyName security_result.rule_name Direkt zugeordnet
cs2 security_result.rule_name Direkt zugeordnet
die Ausprägung security_result.severity Auf LOW setzen, wenn der Wert <= 5 ist, auf MEDIUM, wenn der Wert <= 8 ist, andernfalls auf HIGH
sev security_result.severity Direkt zugeordnet
sev security_result.severity_details Direkt zugeordnet
Grund security_result.summary Direkt zugeordnet
Name security_result.summary Direkt zugeordnet
dhost target.asset.hostname Wenn der Wert nicht dem IP-Adressmuster entspricht
shost target.asset.hostname Fallback, wenn „dhost“ leer ist
dhost target.asset.ip Wenn der Wert dem IP-Adressmuster entspricht
GatewayStation target.asset.ip Direkt zugeordnet
shost target.asset.ip Fallback, wenn dhost leer ist
FileQualifier target.asset_id Mit „ASSET ID:“ als Präfix und in einen String konvertiert
Datei target.file.full_path Direkt zugeordnet
file_path target.file.full_path Direkt zugeordnet
LastEventSourceName target.file.full_path Wenn der Wert mit „C:“ beginnt
fname target.file.full_path Direkt zugeordnet
Hash target.file.sha1 Präfix „SHA1##“ entfernt und Wert in Kleinbuchstaben, wenn SHA1-Typ
GatewayStation target.ip Direkt zusammengeführt
pid target.process.pid In String konvertiert
Sicher target.resource.name Direkt zugeordnet
user_name target.user.user_display_name Direkt zugeordnet
TargetUser target.user.userid Direkt zugeordnet
duser target.user.userid Direkt zugeordnet
suser target.user.userid Wenn das Ereignis vom Typ USER_ ist
event_msg.created event.idm.read_only_udm.metadata.collected_timestamp Aus Änderungsprotokoll zugeordnet
datetime event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
Issuer event.idm.read_only_udm.principal.application Aus Änderungsprotokoll zugeordnet
Message event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
Station event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
MessageID event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet
Safe event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
Version event.idm.read_only_udm.metadata.product_version Aus Änderungsprotokoll zugeordnet
usrName event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
src event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
GatewayStation event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
Reason event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
Location event.idm.read_only_udm.principal.location.name Aus Änderungsprotokoll zugeordnet
File event.idm.read_only_udm.target.file.full_path Aus Änderungsprotokoll zugeordnet
RequestId security_result.detection_fields Aus Änderungsprotokoll zugeordnet
sev event.idm.read_only_udm.security_result Aus Änderungsprotokoll zugeordnet
Category event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ExtraDetails event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
CAPolicy event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
class_name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
vault_name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
timeout event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data_socket event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
control_socket event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
pasvc_action event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
line_number event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ip_address event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
file_path event.idm.read_only_udm.target.file.full_path Aus Änderungsprotokoll zugeordnet
tid event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet
pid event.idm.read_only_udm.target.process.pid Aus Änderungsprotokoll zugeordnet
EventMessage event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
SourceUser event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
TargetUser event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
user_name event.idm.read_only_udm.target.user.user_display_name Aus Änderungsprotokoll zugeordnet
host event.idm.read_only_udm.observer.hostname Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten