Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux Microsoft Defender pour IoT (CyberX)

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Microsoft Defender for IoT (CyberX) dans Google Security Operations à l'aide de Bindplane.

Microsoft Defender pour IoT (anciennement CyberX) est une plate-forme de sécurité IoT/OT sans agent qui permet de découvrir les éléments, de gérer les failles et de surveiller en continu les menaces pour les systèmes de contrôle industriel (ICS) et les environnements de technologie opérationnelle (OT). Elle détecte les comportements anormaux et les menaces connues sur les réseaux IoT/OT sans affecter les processus opérationnels. L'analyseur extrait les champs des journaux syslog et au format clé-valeur de CyberX. Il utilise grok et/ou kv pour analyser le message de journal, puis mappe ces valeurs au modèle de données unifié (UDM). Il définit également les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès privilégié à la console du capteur Microsoft Defender pour IoT

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```

Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation sous Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```

Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CYBERX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- udplog : utilisez udplog pour syslog UDP ou tcplog pour syslog TCP.
- 0.0.0.0 : adresse IP à écouter (0.0.0.0 pour écouter sur toutes les interfaces)
- 514 : numéro de port à écouter (port syslog standard)
Configuration de l'exportateur :
- creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
  - Linux : /opt/observiq-otel-collector/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID : ID client de la section "Obtenir l'ID client"
- location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
- project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
- endpoint : laissez la valeur définie sur chronicle.googleapis.com.
- log_type : type de journal exactement tel qu'il apparaît dans Google SecOps (CYBERX)

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CYBERX'
    raw_log_field: body
    ingestion_labels:
```

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

Exécutez la commande suivante :

sudo systemctl restart observiq-otel-collector

Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

Choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit et sélectionnez Redémarrer.
Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog sur Microsoft Defender pour IoT

Connectez-vous à la console du capteur OT Microsoft Defender pour IoT en tant qu'administrateur.
Sélectionnez Transfert dans le menu de gauche.
Cliquez sur + Créer une règle.
Dans le volet Ajouter une règle de transfert, fournissez les informations suivantes :
- Nom de la règle : saisissez un nom descriptif (par exemple, Google-SecOps-Bindplane).
- Niveau d'alerte minimal : sélectionnez Mineur pour transférer tous les niveaux de gravité ou sélectionnez un niveau supérieur pour filtrer.
- Tout protocole détecté : activez cette option pour transférer les alertes de tout le trafic de protocole, ou désactivez-la et sélectionnez des protocoles spécifiques.
- Trafic détecté par n'importe quel moteur : activez cette option pour transférer les alertes de tous les moteurs de détection, ou désactivez-la et sélectionnez des moteurs spécifiques.
Dans la section Actions, configurez le serveur syslog :
- Serveur : sélectionnez Serveur SYSLOG (format CEF).
- Hôte : saisissez l'adresse IP de l'hôte de l'agent BindPlane.
- Port : saisissez 514.
- Fuseau horaire : sélectionnez UTC (recommandé).
Remarque : Pour ajouter plusieurs destinations de transfert à la même règle, cliquez sur + Ajouter un serveur.
Cliquez sur Enregistrer. La règle est listée sur la page Transfert.
Vérifiez la règle en sélectionnant le menu d'options (...) de la règle, puis en cliquant sur Envoyer un message de test.
Consultez les journaux de l'agent Bindplane pour vérifier que les messages syslog sont bien reçus.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
Masque d'accès	security_result.detection_fields.value	Valeur de access_mask à partir de access_request_kvdata analysé
Domaine du compte	principal.administrative_domain	Valeur de principal_domain à partir de principal_kvdata analysé
Domaine du compte	target.administrative_domain	Valeur de target_domain à partir de target_kvdata analysé
Nom du compte	principal.user.userid	Valeur de principal_account_name à partir de principal_kvdata analysé
Nom du compte	target.user.userid	Valeur de target_account_name à partir de target_kvdata analysé
action	security_result.action_details	Valeur de l'action
action	security_result.action	Dérivé. Si l'action est "accept", "passthrough", "pass", "permit", "detected" ou "close", mappez-la sur "ALLOW". Si l'action est "deny" (refuser), "dropped" (supprimé) ou "blocked" (bloqué), mappez-la sur "BLOCK" (BLOQUER). Si l'action est "timeout", mappez-la sur "FAIL". Sinon, mappez sur "UNKNOWN_ACTION".
Nom de l'algorithme	security_result.detection_fields.value	Valeur de algorithm_name à partir de cryptographic_kvdata analysé
application	target.application	Valeur du service si app_protocol_output est vide
appcat	security_result.detection_fields.value	Valeur de appcat
Nom de l'application	principal.application	Valeur de application_name
package d'authentification	security_result.about.resource.name	Valeur de authentication_package
Alerte Azure Defender pour IoT	security_result.detection_fields.value	Valeur de azure_defender_for_iot_alert
channel	security_result.detection_fields.value	Valeur du canal
Adresse du client	principal.ip, principal.asset.ip	Valeur de source_ip
Port client	principal.port	Valeur de source_port
craction	security_result.detection_fields.value	Valeur de la fraction
Les identifiants du Gestionnaire d'identifiants ont été sauvegardés	security_result.description	Valeur de la description
Les identifiants Credential Manager ont été lus.	security_result.description	Valeur de la description
crscore	security_result.severity_details	Valeur de crscore
crlevel	security_result.severity, security_result.severity_details	Valeur de crlevel. Si crlevel est "HIGH", "MEDIUM", "LOW" ou "CRITICAL", mappez-le à la gravité UDM correspondante.
Opération de chiffrement	metadata.description	Valeur de product_desc
Nom de la plate-forme CyberX	security_result.detection_fields.value	Valeur de cyberx_platform_name
Description	security_result.description	Valeur de la description si le message est vide
Destination	target.ip, target.asset.ip ou target.hostname	Si la destination est une adresse IP, mappez-la à target.ip et target.asset.ip. Sinon, mappez sur target.hostname.
Adresse de destination	target.ip, target.asset.ip	Valeur de destination_ip à partir de network_information analysé
DRA de destination	target.resource.name	Valeur de destination_dra
Adresse IP de destination	target.ip, target.asset.ip	Valeur de destination_ip
Port de destination	target.port	Valeur de destination_port à partir de network_information analysé
devid	principal.resource.product_object_id	Valeur de devid
devname	principal.resource.name	Valeur de devname
Direction	network.direction	Si la direction est "incoming", "inbound" ou "response", mappez-la sur "INBOUND". Si la direction est "outgoing", "outbound" ou "request", mappez-la sur "OUTBOUND".
dstip	target.ip, target.asset.ip	Valeur de dstip si destination_ip est vide
dstcountry	target.location.country_or_region	Valeur de dstcountry
dstintf	security_result.detection_fields.value	Valeur de dstintf
dstintfrole	security_result.detection_fields.value	Valeur de dstintfrole
dstosname	target.platform	Valeur de dstosname si elle est "WINDOWS", "LINUX" ou "MAC".
dstport	target.port	Valeur de dstport si destination_port est vide
dstswversion	target.platform_version	Valeur de dstswversion
duration	network.session_duration.seconds	Valeur de la durée
event_id	security_result.rule_name	Utilisé pour créer le nom de la règle sous la forme "EventID : %{event_id}"
event_in_sequence	security_result.detection_fields.value	Valeur de event_in_sequence
ID d'exécution du filtre	security_result.detection_fields.value	Valeur de filter_run_time_id à partir de filter_information analysé
Adhésion à des groupes	security_result.detection_fields.value	Valeur de group_membership si event_id n'est pas 4627
Adhésion à des groupes	target.user.group_identifiers	Valeurs de group_membership analysées si event_id est défini sur 4627
handle_id	security_result.detection_fields.value	Valeur de handle_id issue de l'objet object_kvdata analysé
ID de l'identifiant	security_result.detection_fields.value	Valeur de handle_id issue de l'objet object_kvdata analysé
impersonation_level	security_result.detection_fields.value	Valeur de impersonation_level à partir de logon_information_kvdata analysé
Longueur de la clé	security_result.detection_fields.value	Valeur de key_length à partir de auth_kvdata analysé
Nom de clé	security_result.detection_fields.value	Valeur de key_name à partir de cryptographic_kvdata analysé
Type de clé	security_result.detection_fields.value	Valeur de key_type à partir de cryptographic_kvdata analysé
keywords	security_result.detection_fields.value	Valeur des mots clés
Nom du calque	security_result.detection_fields.value	Valeur de layer_name à partir de filter_information analysé
ID d'exécution de la couche	security_result.detection_fields.value	Valeur de layer_run_time_id à partir de filter_information analysé
logid	metadata.product_log_id	Valeur de logid
GUID de connexion	principal.resource.product_object_id	Valeur de logon_guid
ID de connexion	security_result.detection_fields.value	Valeur de logon_id
logon_type	event.idm.read_only_udm.extensions.auth.mechanism	Dérivé. Si logon_type est défini sur "3", mappez-le sur "NETWORK". Si la valeur est "4", mappez vers "BATCH". Si la valeur est "5", mappez-la sur "SERVICE". Si la valeur est "8", mappez sur "NETWORK_CLEAR_TEXT". Si la valeur est "9", mappez-la sur "NEW_CREDENTIALS". Si la valeur est "10", mappez-la sur "REMOTE_INTERACTIVE". Si la valeur est "11", mappez-la sur "CACHED_INTERACTIVE". Sinon, s'il n'est pas vide, mappez sur "MECHANISM_OTHER".
Compte de connexion	security_result.detection_fields.value	Valeur de logon_id à partir de l'analyse grok
Processus de connexion	security_result.detection_fields.value	Valeur de logon_process à partir de auth_kvdata analysé
Libellé obligatoire	security_result.detection_fields.value	Valeur de mandatory_label
mastersrcmac	principal.mac	Valeur de mastersrcmac
Message	security_result.description	Valeur du message
new_process_id	target.process.pid	Valeur de new_process_id à partir de process_kvdata analysé
new_process_name	target.process.file.full_path	Valeur de new_process_name à partir de process_kvdata analysé
Nom de l'objet	security_result.detection_fields.value	Valeur de object_name à partir de object_kvdata analysé
Serveur d'objets	security_result.detection_fields.value	Valeur de object_server à partir de object_kvdata analysé
Type d'objet	security_result.detection_fields.value	Valeur de object_type à partir de object_kvdata analysé
osname	principal.platform	Valeur de osname si elle est "WINDOWS", "LINUX" ou "MAC".
Nom du package (NTLM uniquement)	security_result.detection_fields.value	Valeur de package_name à partir de auth_kvdata analysé
policyid	security_result.rule_id	Valeur de policyid
policyname	security_result.rule_name	Valeur de policyname
policytype	security_result.rule_type	Valeur de policytype
ID du processus	principal.process.pid	Valeur de process_id
Nom du processus	principal.process.file.full_path	Valeur de creator_process_name à partir de process_kvdata analysé
profile_changed	security_result.detection_fields.value	Valeur de profile_changed
Profil modifié	security_result.detection_fields.value	Valeur de profile_changed de l'analyse grok
proto	network.ip_protocol	Si le proto est "17", mappez-le sur "UDP". Si la valeur est "6" ou si le sous-type est "wad", mappez sur "TCP". Si la valeur est "41", mappez-la sur "IP6IN4". Si le service est "PING", si le protocole est "1" ou si le service contient "ICMP", mappez-le sur "ICMP".
Protocole	network.application_protocol	Valeur de app_protocol_output dérivée de Protocol
Nom du fournisseur	security_result.detection_fields.value	Valeur de provider_name à partir de provider_kvdata ou cryptographic_kvdata analysé
rcvdbyte	network.received_bytes	Valeur de rcvdbyte
rcvdpkt	security_result.detection_fields.value	Valeur de rcvdpkt
restricted_admin_mode	security_result.detection_fields.value	Valeur de restricted_admin_mode à partir de logon_information_kvdata analysé
Code renvoyé	security_result.detection_fields.value	Valeur de return_code à partir de cryptographic_kvdata analysé
réponse	security_result.detection_fields.value	Valeur de la réponse
rule_id	security_result.rule_id	Valeur de rule_id
ID de sécurité	principal.user.windows_sid	Valeur de principal_security_id à partir de principal_kvdata analysé
ID de sécurité	target.user.windows_sid	Valeur de target_security_id à partir de target_kvdata analysé
sentbyte	network.sent_bytes	Valeur de sentbyte
sentpkt	security_result.detection_fields.value	Valeur de sentpkt
service	network.application_protocol ou target.application	Valeur de app_protocol_output dérivée du service. Si app_protocol_output est vide, mappez-le sur target.application.
ID du service	security_result.detection_fields.value	Valeur de service_id à partir de service_kvdata analysé
Nom du service	security_result.detection_fields.value	Valeur de service_name à partir de service_kvdata analysé
sessionid	network.session_id	Valeur de sessionid
Gravité	security_result.severity, security_result.severity_details	Si la gravité est "ERROR" ou "CRITICAL", mappez-la à la gravité UDM correspondante. Si la valeur est "INFO", mappez-la sur "INFORMATIONAL". Si la valeur est "MINOR", mappez-la sur "LOW". Si la valeur est "WARNING", mappez-la sur "MEDIUM". Si "MAJOR", mappez sur "HIGH". Mappez également la valeur brute à severity_details.
de gravité,	security_result.severity, security_result.severity_details	Si la gravité est "1", "2" ou "3", mappez sur "LOW". Si la valeur est "4", "5" ou "6", mappez-la sur "MEDIUM". Si la valeur est "7", "8" ou "9", elle correspond à "HIGH". Mappez également la valeur brute à severity_details.
Nom de partage	security_result.detection_fields.value	Valeur de share_name à partir de share_information_kvdata analysé
Partager le chemin	security_result.detection_fields.value	Valeur de share_path à partir de share_information_kvdata analysé
Source	principal.ip, principal.asset.ip ou principal.hostname, principal.asset.hostname	Si la source est une adresse IP, mappez-la sur principal.ip et principal.asset.ip. Sinon, mappez sur principal.hostname et principal.asset.hostname.
Adresse source	principal.ip, principal.asset.ip	Valeur de source_ip à partir de network_information analysé
DRA source	principal.resource.name	Valeur de source_dra
Adresse IP source	principal.ip	Valeur de source_ip
Adresse réseau source	principal.ip, principal.asset.ip	Valeur de source_ip
Port source	principal.port	Valeur de source_port à partir de network_information analysé
Station de travail source	workstation_name	Valeur de source_workstation_name
srcip	source_ip	Valeur de srcip si source_ip est vide
srccountry	principal.location.country_or_region	Valeur de srccountry
srcmac	principal.mac	Valeur de srcmac
srcname	principal.hostname, principal.asset.hostname	Valeur de srcname
srcport	source_port	Valeur de srcport si source_port est vide
srcswversion	principal.platform_version	Valeur de srcswversion
Code d'état	network.http.response_code	Valeur de status_code
Type d'élévation du jeton	security_result.detection_fields.value	Valeur de token_elevation_type
transited_services	security_result.detection_fields.value	Valeur de transited_services à partir de auth_kvdata analysé
transip	principal.nat_ip	Valeur de transip
transport	principal.nat_port	Valeur du transport
type	metadata.product_event_type	Utilisé avec le sous-type pour créer metadata.product_event_type
Type	security_result.detection_fields.value	Valeur du type
UUID	metadata.product_log_id	Valeur de l'UUID
vd	principal.administrative_domain	Valeur de vd
virtual_account	security_result.detection_fields.value	Valeur de virtual_account à partir de logon_information_kvdata analysé
Nom de la station de travail	principal.hostname, principal.asset.hostname	Valeur de workstation_name si aucun autre identifiant principal n'est présent
metadata.event_type	metadata.event_type	Dérivé. Si "principal_present" et "target_present" sont tous deux définis sur "true", mappez sur "NETWORK_CONNECTION". Si user_present est défini sur "true", mappez sur "USER_RESOURCE_ACCESS". Si principal_present est défini sur "true", mappez sur "STATUS_UPDATE". Sinon, mappez sur "GENERIC_EVENT".
metadata.log_type	metadata.log_type	Codé en dur sur "CYBERX"
metadata.product_name	metadata.product_name	Codé en dur sur "CYBERX"
metadata.vendor_name	metadata.vendor_name	Codé en dur sur "CYBERX"
metadata.event_timestamp	metadata.event_timestamp	Copié à partir du champ de code temporel de premier niveau, ou dérivé des champs "eventtime" ou "date" et "time".
`intermediary_hostname`	`event.idm.read_only_udm.intermediary.hostname`	Mappé à partir du journal des modifications
`type`	`event.idm.read_only_udm.security_result.detection_fields`	Mappé à partir du journal des modifications
`protocol`	`event.idm.read_only_udm.network.application_protocol`	Mappé à partir du journal des modifications
`UUID`	`event.idm.read_only_udm.metadata.product_log_id`	Mappé à partir du journal des modifications
`product_version_x`	`metadata.product_version`	Mappé à partir du journal des modifications
`pro_event_type`	`metadata.product_event_type`	Mappé à partir du journal des modifications
`title`	`security_result.description`	Mappé à partir du journal des modifications
`msg`	`metadata.description`	Mappé à partir du journal des modifications
`client_ip`	`principal.ip`	Mappé à partir du journal des modifications
`src_ip`	`principal.ip`	Mappé à partir du journal des modifications
`dst_ip`	`target.ip`	Mappé à partir du journal des modifications
`src_mac`	`principal.mac`	Mappé à partir du journal des modifications
`timestamp" and "ts`	`metadata.event_timestamp`	Mappé à partir du journal des modifications
`source_ip2`	`principal.ip`	Mappé à partir du journal des modifications
`destination_ip2`	`target.ip`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.