Raccogli i log di CyberArk

Versione parser: 8.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di CyberArk in Google Security Operations utilizzando l'agente Bindplane.

CyberArk Privileged Access Manager (PAM) è una soluzione di sicurezza per l'accesso con privilegi di livello enterprise che protegge, gestisce e monitora gli account e le credenziali con privilegi in ambienti on-premise e cloud. Fornisce archiviazione delle credenziali, isolamento e monitoraggio delle sessioni, rilevamento delle minacce tramite Privileged Threat Analytics (PTA) e registrazione completa dei log di controllo di tutte le attività con privilegi.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il server CyberArk Vault
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso amministrativo al server CyberArk Vault (accesso alla cartella di installazione Server\Conf)
• CyberArk Vault versione 10.0 o successive

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion legacy (malachiteingestion-pa.googleapis.com), il cui fine del ciclo di vita è previsto da Google per il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Lo stato del servizio deve essere RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Lo stato del servizio deve essere attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

1. Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/cyberark:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
       customer_id: 'your-customer-id'
       endpoint: chronicle.googleapis.com
       log_type: CYBERARK
       raw_log_field: body
   
   service:
     pipelines:
       logs/cyberark_to_chronicle:
         receivers:
           - udplog
         exporters:
           - chronicle/cyberark
   

2. Sostituisci i seguenti segnaposto:

   • Configurazione del ricevitore:

     • listen_address: Indirizzo IP e porta su cui ascoltare:

       • 0.0.0.0:514 per rimanere in ascolto su tutte le interfacce sulla porta 514 (richiede l'accesso come amministratore su Linux)
       • 0.0.0.0:1514 per l'ascolto su una porta senza privilegi (consigliato per Linux non root)

     • Opzioni del tipo di ricevitore:

       • udplog per syslog UDP (impostazione predefinita per CyberArk Vault)
       • tcplog per TCP Syslog
       • Utilizza tcplog se CyberArk Vault è configurato con SyslogServerProtocol=TCP

   • Configurazione dell'esportatore:

     • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

     • customer_id: ID cliente Google SecOps

     • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.

     • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.

     • endpoint: mantieni l'impostazione chronicle.googleapis.com.

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cyberark:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'your-customer-id'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CYBERARK
      raw_log_field: body
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Salva il file di configurazione

Dopo la modifica, salva il file:

• Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
• Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

     sudo systemctl restart observiq-otel-collector
     

  2. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  3. Controlla la presenza di errori nei log:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

     • Prompt dei comandi o PowerShell come amministratore:

       net stop observiq-otel-collector && net start observiq-otel-collector
       

     • Console dei servizi:

       1. Premi Win+R, digita services.msc e premi Invio.
       2. Individua observIQ OpenTelemetry Collector.
       3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

     sc query observiq-otel-collector
     

  3. Controlla i log per verificare la presenza di errori:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Configura l'inoltro di syslog di CyberArk

CyberArk Vault invia gli eventi di controllo in formato CEF (Common Event Format) tramite syslog. Vault Server converte i record di controllo XML in messaggi CEF utilizzando un file di conversione XSL, quindi li inoltra all'agente Bindplane.

Configura il server Vault per l'invio di syslog

1. Accedi alla macchina host del server CyberArk Vault con privilegi amministrativi.
2. Vai alla cartella di installazione di CyberArk Vault Server (ad esempio `C:\Program Files (x86)\PrivateArk\Server\Conf`).
3. Apri il file DBParm.ini in un editor di testo.
4. Copia la sezione [SYSLOG] dal file DBParm.sample.ini (che si trova nella stessa cartella) e incollala in fondo a DBParm.ini.

5. Configura i seguenti parametri syslog nella sezione [SYSLOG]:

   [SYSLOG]
   SyslogServerIP=<BINDPLANE_AGENT_IP>
   SyslogServerPort=514
   SyslogServerProtocol=UDP
   UseLegacySyslogFormat=No
   SyslogTranslatorFile=Syslog\Arcsight.sample.xsl
   SyslogMessageCodeFilter=0-999
   

6. Sostituisci i seguenti valori:

   • SyslogServerIP: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • SyslogServerPort: inserisci la porta corrispondente all'agente Bindplane listen_address (ad esempio, 514).

   • SyslogServerProtocol: seleziona il protocollo:

     • UDP per syslog UDP (predefinito)
     • TCP per syslog TCP

   • SyslogTranslatorFile: inserisci il file di conversione XSL per il formato CEF:

     • Syslog\Arcsight.sample.xsl per l'output CEF standard (consigliato)

   • SyslogMessageCodeFilter: inserisci i codici dei messaggi da inoltrare:

     • 0-999 per inoltrare tutti gli eventi
     • Specifica singoli codici o intervalli (ad esempio, 1,2,3,5-10,30) per filtrare eventi specifici

   • UseLegacySyslogFormat: impostalo su No per il formato RFC 5424.

7. Salva il file DBParm.ini.

8. Riavvia il servizio PrivateArk Server:

   1. Apri Servizi di Windows (services.msc).
   2. Individua il servizio CyberArk Vault Disaster Recovery e arrestalo (se è in esecuzione).
   3. Individua il servizio PrivateArk Server.
   4. Fai clic con il tasto destro del mouse e seleziona Riavvia.
   5. Riavvia il servizio CyberArk Vault Disaster Recovery (se applicabile).
   Nota: il riavvio del servizio PrivateArk Server interrompe temporaneamente la connettività di Vault. Pianifica questa operazione durante un periodo di manutenzione.

Inoltrare syslog a più destinazioni

• Per inoltrare gli eventi syslog di Vault sia all'agente Bindplane sia ad altre destinazioni (ad esempio PTA), specifica più indirizzi IP e file di traduzione separati da virgole:

  SyslogServerIP=<BINDPLANE_AGENT_IP>,<PTA_SERVER_IP>
  SyslogTranslatorFile=Syslog\Arcsight.sample.xsl,Syslog\PTA.xsl
  

  Nota: tutte le destinazioni condividono la stessa porta e lo stesso protocollo configurati in SyslogServerPort e SyslogServerProtocol.

(Facoltativo) Configura l'inoltro di syslog di Privileged Threat Analytics (PTA)

Se vuoi anche inoltrare gli avvisi di sicurezza di PTA a Google SecOps, configura l'integrazione di PTA SIEM:

1. Accedi alla console PVWA (Password Vault Web Access).
2. Vai ad Administration > Configuration Options > Privileged Threat Analytics.
3. Nella sezione SIEM, configura quanto segue:
   • IP server Syslog: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta server syslog: inserisci la porta corrispondente alla configurazione dell'agente Bindplane (ad esempio, 514).
   • Protocollo: seleziona UDP o TCP in modo che corrisponda al ricevitore dell'agente Bindplane.
   • Formato: seleziona CEF.
4. Fai clic su Salva.

File di traduzione XSL disponibili

• La sottocartella Syslog nella cartella di installazione di CyberArk Server contiene file di traduzione XSL di esempio:

  File del traduttore	Formato	Descrizione
  Arcsight.sample.xsl	CEF	Formato CEF standard (consigliato per Google SecOps)
  SplunkCIM.xsl	CIM	Formato Splunk Common Information Model
  PTA.xsl	Personalizzato	Formato per l'inoltro a CyberArk PTA
  XSIAM.xsl	CEF	Formato Palo Alto Cortex XSIAM

  Nota: utilizza Arcsight.sample.xsl per l'importazione di Google SecOps. Questo traduttore genera messaggi CEF standard che l'analizzatore CyberArk può elaborare.

Verifica l'inoltro di syslog

1. Dopo aver riavviato il servizio PrivateArk Server, esegui un'azione di test nel Vault (ad esempio, recupera una password o accedi a PVWA).
2. Controlla i log dell'agente Bindplane per i messaggi syslog in arrivo:
   • Linux: sudo journalctl -u observiq-otel-collector -f
   • Windows: type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

3. Verifica che i messaggi in formato CEF vengano visualizzati nei log, ad esempio:

   CEF:0|Cyber-Ark|Vault|10.0|22|CPM password retrieved|5|suser=Administrator src=10.0.0.1 fname=Root\operating system-server1-admin
   

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
RequestId_label	additional.fields	Mappata come coppia chiave-valore
Category_label	additional.fields	Mappata come coppia chiave-valore
ExtraDetails_label	additional.fields	Mappata come coppia chiave-valore
CAPolicy_label	additional.fields	Mappato come coppia chiave-valore
line_number_label	additional.fields	Mappata come coppia chiave-valore
pasvc_action_label	additional.fields	Mappato come coppia chiave-valore
control_socket_label	additional.fields	Mappata come coppia chiave-valore
data_socket_label	additional.fields	Mappato come coppia chiave-valore
timeout_label	additional.fields	Mappata come coppia chiave-valore
vault_name_label	additional.fields	Mappata come coppia chiave-valore
class_name_label	additional.fields	Mappata come coppia chiave-valore
status_label	additional.fields	Mappato come coppia chiave-valore
Publisher_Event	additional.fields	Mappata come coppia chiave-valore
Last_Event	additional.fields	Mappata come coppia chiave-valore
Total_Events	additional.fields	Mappato come coppia chiave-valore
cs1_var	additional.fields	Mappata come coppia chiave-valore
cs3_var	additional.fields	Mappato come coppia chiave-valore
app_var	additional.fields	Mappato come coppia chiave-valore
reason_var	additional.fields	Mappata come coppia chiave-valore
cs5_var	additional.fields	Mappato come coppia chiave-valore
cs4_var	additional.fields	Mappata come coppia chiave-valore
_auth_mechanism	extensions.auth.mechanism	Uniti direttamente
dvc	intermediary.ip	Se il valore corrisponde al pattern dell'indirizzo IP
EventName	metadata.description	Se il processo non corrisponde al pattern exe
act	metadata.description	Se fname è vuoto
EventMessage	metadata.description	Se l'azione è vuota
LastEventDate	metadata.event_timestamp	Convertito utilizzando il formato ISO8601 o yyyy-MM-ddTHH:mm:ss
_temp_datetime	metadata.event_timestamp	Conversione eseguita utilizzando il formato gg/MM/aaaa HH:mm:ss
dataora	metadata.event_timestamp	Convertito utilizzando il formato ISO8601 o MMM d HH:mm:ss
_event_type	metadata.event_type	Rinominato direttamente
nome	metadata.event_type	Imposta in base alle condizioni: FILE_CREATION per "Store File", USER_LOGIN per "Logon", NETWORK_CONNECTION se has_principal e has_target, FILE_UNCATEGORIZED se has_target_file_details, PROCESS_UNCATEGORIZED se has_target_process_details, STATUS_UPDATE solo se has_principal, NETWORK_UNCATEGORIZED se app_error e has_principal e has_target, altrimenti GENERIC_EVENT
EventType	metadata.product_event_type	Mappato direttamente
signature_id, name	metadata.product_event_type	Concatenato da signature_id e name
LastEventID	metadata.product_log_id	Convertito in stringa
tid	metadata.product_log_id	Mappato direttamente
prodotto	metadata.product_name	Rinominato direttamente
versione	metadata.product_version	Rinominato direttamente
vendor	metadata.vendor_name	Rinominato direttamente
host	observer.hostname	Mappato direttamente
LastEventUserName	principal.administrative_domain	Estratto utilizzando il dominio/utente del pattern grok
ApplicationType	principal.application	Mappata direttamente
shost	principal.asset.hostname	Se il valore non corrisponde al pattern dell'indirizzo IP
shost	principal.asset.hostname	Fallback se dhost è vuoto
shost	principal.asset.ip	Se il valore corrisponde al pattern dell'indirizzo IP
src	principal.asset.ip	Mappata direttamente
ip_address	principal.asset.ip	Mappata direttamente
shost	principal.asset.ip	Soluzione di riserva se dhost è vuoto
shost	principal.ip	Se il valore corrisponde al pattern dell'indirizzo IP, viene unito
src	principal.ip	Uniti direttamente
ip_address	principal.ip	Uniti direttamente
Località	principal.location.name	Mappata direttamente
LastEventSourceName	principal.platform	Imposta su WINDOWS se il valore corrisponde al pattern di Windows
EventName	principal.process.command_line	Se il processo corrisponde al pattern exe
LastEventPackageName	principal.resource.name	Se il valore non è EventName
ApplicationType	principal.user.attribute.roles	Imposta su ADMINISTRATOR se il valore è uguale a AdminTask
LastEventUserName	principal.user.user_display_name	Parte dell'utente di un dominio estratta utilizzando il pattern grok dominio\utente
user_name	principal.user.user_display_name	Mappato direttamente
SourceUser	principal.user.userid	Mappato direttamente
suser	principal.user.userid	Se l'evento non è di tipo USER_
usrName	principal.user.userid	Mappata direttamente
_action	security_result.action	Uniti direttamente
nome	security_result.action	Imposta su BLOCK se il valore inizia con "Failure" o "Failed", altrimenti ALLOW
msg	security_result.description	Mappato direttamente
msg, reason	security_result.description	Concatenato da msg e motivo se la condizione di errore è soddisfatta
_sec_result_description	security_result.description	Mappato direttamente
PolicyName	security_result.rule_name	Mappata direttamente
cs2	security_result.rule_name	Mappata direttamente
gravità	security_result.severity	Impostato su LOW se il valore è <= 5, MEDIUM se il valore è <= 8, HIGH in caso contrario
sev	security_result.severity	Mappato direttamente
sev	security_result.severity_details	Mappato direttamente
Motivo	security_result.summary	Mappato direttamente
nome	security_result.summary	Mappato direttamente
dhost	target.asset.hostname	Se il valore non corrisponde al pattern dell'indirizzo IP
shost	target.asset.hostname	Soluzione di riserva se dhost è vuoto
dhost	target.asset.ip	Se il valore corrisponde al pattern dell'indirizzo IP
GatewayStation	target.asset.ip	Mappata direttamente
shost	target.asset.ip	Fallback se dhost è vuoto
FileQualifier	target.asset_id	Con prefisso "ID asset:" e convertito in stringa
File	target.file.full_path	Mappato direttamente
file_path	target.file.full_path	Mappato direttamente
LastEventSourceName	target.file.full_path	Se il valore inizia con "C:"
fname	target.file.full_path	Mappata direttamente
Hash	target.file.sha1	Prefisso "SHA1##" rimosso e valore convertito in minuscolo, se il tipo è SHA1
GatewayStation	target.ip	Uniti direttamente
pid	target.process.pid	Convertito in stringa
Sicuro	target.resource.name	Mappata direttamente
user_name	target.user.user_display_name	Mappato direttamente
TargetUser	target.user.userid	Mappata direttamente
duser	target.user.userid	Mappata direttamente
suser	target.user.userid	Se l'evento è di tipo USER_
event_msg.created	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
datetime	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
Issuer	event.idm.read_only_udm.principal.application	Mappato dal log delle modifiche
Message	event.idm.read_only_udm.security_result.description	Mappato dal log delle modifiche
Station	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
MessageID	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
Safe	event.idm.read_only_udm.target.resource.name	Mappato dal log delle modifiche
Version	event.idm.read_only_udm.metadata.product_version	Mappato dal log delle modifiche
usrName	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
src	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
GatewayStation	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
Reason	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
Location	event.idm.read_only_udm.principal.location.name	Mappato dal log delle modifiche
File	event.idm.read_only_udm.target.file.full_path	Mappato dal log delle modifiche
RequestId	security_result.detection_fields	Mappato dal log delle modifiche
sev	event.idm.read_only_udm.security_result	Mappato dal log delle modifiche
Category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ExtraDetails	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
CAPolicy	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
status	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
class_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vault_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
timeout	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
data_socket	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
control_socket	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
pasvc_action	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
line_number	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ip_address	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
file_path	event.idm.read_only_udm.target.file.full_path	Mappato dal log delle modifiche
tid	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
pid	event.idm.read_only_udm.target.process.pid	Mappato dal log delle modifiche
EventMessage	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
SourceUser	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
TargetUser	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
user_name	event.idm.read_only_udm.target.user.user_display_name	Mappato dal log delle modifiche
host	event.idm.read_only_udm.observer.hostname	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.