איסוף יומנים של CyberArk

גרסת המנתח: 8.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני CyberArk ב-Google Security Operations באמצעות סוכן Bindplane.

‫CyberArk Privileged Access Manager (PAM)‎ הוא פתרון אבטחה ברמה שמתאימה לארגונים לניהול גישה עם הרשאות, שמאבטח, מנהל ומנטר חשבונות ופרטי כניסה עם הרשאות בסביבות מקומיות ובסביבות ענן. הוא מספק אחסון מאובטח של פרטי כניסה, בידוד ומעקב אחרי סשנים, זיהוי איומים באמצעות Privileged Threat Analytics‏ (PTA) ורישום מקיף ביומן הביקורת של כל הפעילויות עם הרשאות הגישה.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• חיבור לרשת בין סוכן Bindplane לבין CyberArk Vault Server
• אם מפעילים מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• הרשאת אדמין ל-CyberArk Vault Server (גישה לתיקיית ההתקנה של Server\Conf)
• ‫CyberArk Vault בגרסה 10.0 ואילך

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   סטטוס השירות צריך להיות RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   סטטוס השירות צריך להיות active (running)‎.

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

מגדירים את סוכן Bindplane כך שיקלוט את syslog וישלח אותו ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

1. מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/cyberark:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
       customer_id: 'your-customer-id'
       endpoint: chronicle.googleapis.com
       log_type: CYBERARK
       raw_log_field: body
   
   service:
     pipelines:
       logs/cyberark_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/cyberark
   

2. מחליפים את ה-placeholders הבאים:

   • הגדרת המקלט:

     • ‫listen_address: כתובת ה-IP והיציאה להאזנה:

       • ‫0.0.0.0:514 כדי להאזין לכל הממשקים ביציאה 514 (נדרשת הרשאת root ב-Linux)
       • ‫0.0.0.0:1514 כדי להאזין ביציאה ללא הרשאות (מומלץ ל-Linux ללא הרשאות בסיסיות)

     • אפשרויות לסוג המקלט:

       • ‫udplog ל-UDP syslog (ברירת המחדל ל-CyberArk Vault)
       • ‫tcplog ל-syslog של TCP
       • צריך להשתמש ב-tcplog אם CyberArk Vault מוגדר עם SyslogServerProtocol=TCP

   • הגדרת הייצוא:

     • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • ‫customer_id: מספר הלקוח ב-Google SecOps

     • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.

     • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.

     • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cyberark:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'your-customer-id'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CYBERARK
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:

• Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
• Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

  1. מריצים את הפקודה הבאה:

     sudo systemctl restart observiq-otel-collector
     

  2. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  3. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

  1. בוחרים אחת מהאפשרויות האלה:

     • שורת הפקודה או PowerShell כאדמין:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • מסוף השירותים:

       1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
       2. מאתרים את observIQ OpenTelemetry Collector.
       3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  2. מוודאים שהשירות פועל:

     sc query observiq-otel-collector
     

  3. בודקים אם יש שגיאות ביומנים:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

הגדרת העברת syslog ב-CyberArk

‫CyberArk Vault שולח אירועי ביקורת ב-CEF (פורמט אירועים נפוץ) דרך syslog. שרת Vault ממיר רשומות ביקורת ב-XML להודעות CEF באמצעות קובץ מתרגם XSL, ואז מעביר אותן לסוכן Bindplane.

הגדרת שרת Vault לשליחת syslog

1. נכנסים למכונה המארחת של CyberArk Vault Server עם הרשאות אדמין.
2. עוברים לתיקיית ההתקנה של CyberArk Vault Server (לדוגמה, `C:\Program Files (x86)\PrivateArk\Server\Conf`).
3. פותחים את הקובץ DBParm.ini בכלי לעריכת טקסט.
4. מעתיקים את הקטע [SYSLOG] מהקובץ DBParm.sample.ini (שנמצא באותה תיקייה) ומדביקים אותו בתחתית הקובץ DBParm.ini.

5. מגדירים את הפרמטרים הבאים של syslog בקטע [SYSLOG]:

   [SYSLOG]
   SyslogServerIP=<BINDPLANE_AGENT_IP>
   SyslogServerPort=514
   SyslogServerProtocol=UDP
   UseLegacySyslogFormat=No
   SyslogTranslatorFile=Syslog\Arcsight.sample.xsl
   SyslogMessageCodeFilter=0-999
   

6. מחליפים את הערכים הבאים:

   • ‫SyslogServerIP: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • ‫SyslogServerPort: מזינים את היציאה שתואמת לסוכן Bindplane‏ listen_address (לדוגמה, 514).

   • ‫SyslogServerProtocol: בוחרים את הפרוטוקול:

     • ‫UDP ל-UDP syslog (ברירת מחדל)
     • ‫TCP ל-syslog של TCP

   • ‫SyslogTranslatorFile: מזינים את קובץ המתרגם של XSL לפורמט CEF:

     • ‫Syslog\Arcsight.sample.xsl לפלט CEF רגיל (מומלץ)

   • ‫SyslogMessageCodeFilter: מזינים את קודי ההודעות שרוצים להעביר:

     • 0-999 כדי להעביר את כל האירועים
     • כדי לסנן אירועים ספציפיים, צריך לציין קודים או טווחים ספציפיים (לדוגמה, 1,2,3,5-10,30)

   • ‫UseLegacySyslogFormat: מגדירים את הערך No לפורמט RFC 5424.

7. שומרים את קובץ ה-DBParm.ini.

8. מפעילים מחדש את השירות PrivateArk Server:

   1. פותחים את שירותי Windows (services.msc).
   2. מאתרים את השירות CyberArk Vault Disaster Recovery ומפסיקים אותו (אם הוא פועל).
   3. מאתרים את השירות PrivateArk Server.
   4. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
   5. מפעילים שוב את השירות CyberArk Vault Disaster Recovery (אם רלוונטי).
   הערה: הפעלה מחדש של שירות PrivateArk Server מפריעה באופן זמני לקישוריות של Vault. כדאי לתזמן את זה לחלון זמן לתחזוקה.

העברת syslog לכמה יעדים

• כדי להעביר אירועי syslog של Vault גם לסוכן Bindplane וגם ליעדים אחרים (לדוגמה, PTA), צריך לציין כמה כתובות IP וקובצי תרגום שמופרדים בפסיקים:

  SyslogServerIP=<BINDPLANE_AGENT_IP>,<PTA_SERVER_IP>
  SyslogTranslatorFile=Syslog\Arcsight.sample.xsl,Syslog\PTA.xsl
  

  הערה: כל היעדים משתמשים באותה יציאה ובאותו פרוטוקול שהוגדרו ב-SyslogServerPort וב-SyslogServerProtocol.

הגדרת העברת syslog של Privileged Threat Analytics (PTA) (אופציונלי)

אם אתם רוצים להעביר גם התראות אבטחה של PTA ל-Google SecOps, הגדירו את השילוב של PTA SIEM:

1. נכנסים למסוף PVWA (Password Vault Web Access).
2. עוברים אל Administration > Configuration Options > Privileged Threat Analytics.
3. בקטע SIEM, קובעים את ההגדרות הבאות:
   • ‫Syslog Server IP: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • Syslog Server Port: מזינים את היציאה שתואמת להגדרות של סוכן Bindplane (לדוגמה, 514).
   • Protocol: בוחרים באפשרות UDP או TCP כדי להתאים למקלט של סוכן Bindplane.
   • פורמט: בוחרים באפשרות CEF.
4. לוחצים על Save.

קובצי תרגום זמינים ב-XSL

• תיקיית המשנה Syslog בתיקיית ההתקנה של שרת CyberArk מכילה קובצי XSL לדוגמה לתרגום:

  קובץ תרגום	פורמט	תיאור
  Arcsight.sample.xsl	CEF	פורמט CEF רגיל (מומלץ ל-Google SecOps)
  SplunkCIM.xsl	CIM	פורמט Splunk Common Information Model
  PTA.xsl	בהתאמה אישית	פורמט להעברה אל CyberArk PTA
  XSIAM.xsl	CEF	פורמט Palo Alto Cortex XSIAM

  הערה: צריך להשתמש ב-Arcsight.sample.xsl להטמעה ב-Google SecOps. המתרגם הזה מפיק הודעות CEF סטנדרטיות שהמנתח של CyberArk יכול לעבד.

אימות של העברת syslog

1. אחרי שמפעילים מחדש את שירות PrivateArk Server, מבצעים פעולת בדיקה ב-Vault (לדוגמה, מאחזרים סיסמה או נכנסים ל-PVWA).
2. בודקים את יומני הסוכן של Bindplane כדי לראות הודעות syslog נכנסות:
   • Linux: sudo journalctl -u observiq-otel-collector -f
   • Windows: type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

3. מוודאים שהודעות בפורמט CEF מופיעות ביומנים, לדוגמה:

   CEF:0|Cyber-Ark|Vault|10.0|22|CPM password retrieved|5|suser=Administrator src=10.0.0.1 fname=Root\operating system-server1-admin
   

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
RequestId_label	additional.fields	ממופה כצמד מפתח/ערך
Category_label	additional.fields	ממופה כצמד מפתח/ערך
ExtraDetails_label	additional.fields	ממופה כצמד מפתח/ערך
CAPolicy_label	additional.fields	ממופה כצמד מפתח/ערך
line_number_label	additional.fields	ממופה כצמד מפתח/ערך
pasvc_action_label	additional.fields	ממופה כצמד מפתח/ערך
control_socket_label	additional.fields	ממופה כצמד מפתח/ערך
data_socket_label	additional.fields	ממופה כצמד מפתח/ערך
timeout_label	additional.fields	ממופה כצמד מפתח/ערך
vault_name_label	additional.fields	ממופה כצמד מפתח/ערך
class_name_label	additional.fields	ממופה כצמד מפתח/ערך
status_label	additional.fields	ממופה כצמד מפתח/ערך
Publisher_Event	additional.fields	ממופה כצמד מפתח/ערך
Last_Event	additional.fields	ממופה כצמד מפתח/ערך
Total_Events	additional.fields	ממופה כצמד מפתח/ערך
cs1_var	additional.fields	ממופה כצמד מפתח/ערך
cs3_var	additional.fields	ממופה כצמד מפתח/ערך
app_var	additional.fields	ממופה כצמד מפתח/ערך
reason_var	additional.fields	ממופה כצמד מפתח/ערך
cs5_var	additional.fields	ממופה כצמד מפתח/ערך
cs4_var	additional.fields	ממופה כצמד מפתח/ערך
_auth_mechanism	extensions.auth.mechanism	מיזוג ישיר
dvc	intermediary.ip	אם הערך תואם לתבנית של כתובת IP
EventName	metadata.description	אם התהליך לא תואם לתבנית של קובץ exe
פעולה	metadata.description	אם השדה fname ריק
EventMessage	metadata.description	אם המערכה ריקה
LastEventDate	metadata.event_timestamp	ההמרה מתבצעת באמצעות פורמט ISO8601 או yyyy-MM-ddTHH:mm:ss
_temp_datetime	metadata.event_timestamp	ההמרה בוצעה בפורמט dd/MM/yyyy HH:mm:ss
datetime	metadata.event_timestamp	ההמרה מתבצעת באמצעות פורמט ISO8601 או MMM d HH:mm:ss
_event_type	metadata.event_type	שינוי שם ישיר
name	metadata.event_type	הגדרה על סמך תנאים: FILE_CREATION עבור "Store File", ‏ USER_LOGIN עבור "Logon", ‏ NETWORK_CONNECTION אם has_principal ו-has_target, ‏ FILE_UNCATEGORIZED אם has_target_file_details, ‏ PROCESS_UNCATEGORIZED אם has_target_process_details, ‏ STATUS_UPDATE אם has_principal בלבד, NETWORK_UNCATEGORIZED אם app_error ו-has_principal ו-has_target, אחרת GENERIC_EVENT
EventType	metadata.product_event_type	מיפוי ישיר
signature_id, name	metadata.product_event_type	שרשור של signature_id ו-name
LastEventID	metadata.product_log_id	הומרה למחרוזת
tid	metadata.product_log_id	מיפוי ישיר
מוצר	metadata.product_name	שינוי שם ישיר
גרסה	metadata.product_version	שינוי שם ישיר
ספק	metadata.vendor_name	שינוי שם ישיר
מארח	observer.hostname	מיפוי ישיר
LastEventUserName	principal.administrative_domain	חולץ באמצעות תבנית grok domain\user
ApplicationType	principal.application	מיפוי ישיר
shost	principal.asset.hostname	אם הערך לא תואם לתבנית של כתובת IP
shost	principal.asset.hostname	חלופה אם dhost ריק
shost	principal.asset.ip	אם הערך תואם לתבנית של כתובת IP
src	principal.asset.ip	מיפוי ישיר
ip_address	principal.asset.ip	מיפוי ישיר
shost	principal.asset.ip	חלופה אם dhost ריק
shost	principal.ip	אם הערך תואם לתבנית של כתובת IP, הוא מוזג
src	principal.ip	מיזוג ישיר
ip_address	principal.ip	מיזוג ישיר
מיקום	principal.location.name	מיפוי ישיר
LastEventSourceName	principal.platform	צריך להגדיר את הערך WINDOWS אם הוא תואם לתבנית של Windows
EventName	principal.process.command_line	אם התהליך תואם לתבנית של קובץ ה-exe
LastEventPackageName	principal.resource.name	אם הערך הוא לא EventName
ApplicationType	principal.user.attribute.roles	הגדרה ל-ADMINISTRATOR אם הערך שווה ל-AdminTask
LastEventUserName	principal.user.user_display_name	חלק המשתמש חולץ באמצעות תבנית grok domain\user
user_name	principal.user.user_display_name	מיפוי ישיר
SourceUser	principal.user.userid	מיפוי ישיר
suser	principal.user.userid	אם האירוע הוא לא מסוג USER_‎
usrName	principal.user.userid	מיפוי ישיר
_action	security_result.action	מיזוג ישיר
name	security_result.action	אם הערך מתחיל ב-"Failure" או ב-"Failed", צריך להגדיר BLOCK. אחרת, צריך להגדיר ALLOW.
msg	security_result.description	מיפוי ישיר
msg, reason	security_result.description	משורשר מההודעה ומהסיבה אם יש תנאי כשל
_sec_result_description	security_result.description	מיפוי ישיר
PolicyName	security_result.rule_name	מיפוי ישיר
cs2	security_result.rule_name	מיפוי ישיר
severity	security_result.severity	הגדרה ל-LOW אם הערך קטן מ-5 או שווה לו, ל-MEDIUM אם הערך קטן מ-8 או שווה לו, ול-HIGH בכל מקרה אחר
sev	security_result.severity	מיפוי ישיר
sev	security_result.severity_details	מיפוי ישיר
סיבה	security_result.summary	מיפוי ישיר
name	security_result.summary	מיפוי ישיר
dhost	target.asset.hostname	אם הערך לא תואם לתבנית של כתובת IP
shost	target.asset.hostname	חלופה אם dhost ריק
dhost	target.asset.ip	אם הערך תואם לתבנית של כתובת IP
GatewayStation	target.asset.ip	מיפוי ישיר
shost	target.asset.ip	חלופה אם dhost ריק
FileQualifier	target.asset_id	עם הקידומת "מזהה נכס:" ומומר למחרוזת
קובץ	target.file.full_path	מיפוי ישיר
file_path	target.file.full_path	מיפוי ישיר
LastEventSourceName	target.file.full_path	אם הערך מתחיל ב-"C:‎"
fname	target.file.full_path	מיפוי ישיר
גיבוב (hash)	target.file.sha1	הקידומת "SHA1##‎" הוסרה והערך הומר לאותיות קטנות, אם סוג הגיבוב הוא SHA1
GatewayStation	target.ip	מיזוג ישיר
pid	target.process.pid	הומרה למחרוזת
בטוח	target.resource.name	מיפוי ישיר
user_name	target.user.user_display_name	מיפוי ישיר
TargetUser	target.user.userid	מיפוי ישיר
duser	target.user.userid	מיפוי ישיר
suser	target.user.userid	אם האירוע הוא מסוג USER_‎
event_msg.created	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
datetime	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
Issuer	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
Message	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
Station	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
MessageID	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
Safe	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
Version	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
usrName	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
src	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
GatewayStation	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
Reason	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
Location	event.idm.read_only_udm.principal.location.name	מופה מיומן השינויים
File	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
RequestId	security_result.detection_fields	מופה מיומן השינויים
sev	event.idm.read_only_udm.security_result	מופה מיומן השינויים
Category	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ExtraDetails	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
CAPolicy	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
class_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vault_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
timeout	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
data_socket	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
control_socket	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
pasvc_action	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
line_number	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ip_address	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
file_path	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
tid	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
pid	event.idm.read_only_udm.target.process.pid	מופה מיומן השינויים
EventMessage	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
SourceUser	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
TargetUser	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
user_name	event.idm.read_only_udm.target.user.user_display_name	מופה מיומן השינויים
host	event.idm.read_only_udm.observer.hostname	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.