איסוף יומנים של IBM DB2

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני IBM DB2 ב-Google Security Operations באמצעות סוכן Bindplane.

‫IBM Db2 היא מערכת ניהול של מסד נתונים (RDBMS) שמספקת כלי ביקורת שעוזר לזהות גישה לא ידועה או לא צפויה לנתונים. הכלי לביקורת של Db2 יוצר ומאפשר תחזוקה של נתיב ביקורת עבור סדרה של אירועים מוגדרים מראש במסד הנתונים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מופע IBM DB2
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• מכונה של IBM DB2 (גרסה 11.1 ואילך) עם הרשאות SYSADM
• יש מספיק מקום בכונן לאחסון של יומן הביקורת ולהעברה שלו לארכיון

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך את customer ID כדי להגדיר את הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

1. מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:1514"
   
   exporters:
     chronicle/db2_audit:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
       customer_id: 'YOUR_CUSTOMER_ID'
       endpoint: chronicle.googleapis.com
       log_type: DB2_DB
       raw_log_field: body
       ingestion_labels:
         env: production
   
   service:
     pipelines:
       logs/db2_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/db2_audit
   

2. מחליפים את ה-placeholders הבאים:

   • הגדרת המקלט:

     • ‫listen_address: צריך להגדיר את הערך 0.0.0.0:1514 כדי להאזין לכל הממשקים ביציאה 1514 (יציאה ללא הרשאות שמומלצת ל-Linux).

   • הגדרת כלי הייצוא:

     • ‫creds_file_path: הנתיב המלא לקובץ המפתח בפורמט JSON של חשבון השירות (אפשרות 1):

       • Linux: /opt/observiq-otel-collector/ingestion-auth.json
       • Windows: C:\\Program Files\\observIQ OpenTelemetry Collector\\ingestion-auth.json

     • ‫customer_id: מספר הלקוח מהשלב הקודם

     • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.

     • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.

     • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

     • ‫log_type: מוגדר לערך DB2_DB

     • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/db2_audit:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: DB2_DB
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:

  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים

• Linux

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• Windows

  בוחרים אחת מהאפשרויות האלה:

  • באמצעות שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • שימוש במסוף Services:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת כלי הביקורת של IBM DB2

מגדירים את כלי הביקורת של DB2 כדי לתעד אירועי אבטחה ולחלץ אותם ל-syslog.

בדיקת ההגדרות הנוכחיות של הביקורת

• מתחברים למכונה של DB2 כמשתמש עם הרשאת SYSADM ומריצים את הפקודה:

  db2audit describe
  

  מוצגת כאן הגדרת הביקורת הנוכחית, כולל סטטוס הביקורת, הקטגוריות והנתיבים.

הגדרת נתיבי ביקורת

1. מגדירים את הספריות שבהן יאוחסנו יומני הביקורת:

   db2audit configure datapath /db2audit/data
   db2audit configure archivepath /db2audit/archive
   

2. צריך לוודא שהספריות האלה קיימות ושיש להן הרשאות מתאימות לבעלים של המכונה של DB2:

   mkdir -p /db2audit/data /db2audit/archive
   chown db2inst1:db2iadm1 /db2audit/data /db2audit/archive
   chmod 750 /db2audit/data /db2audit/archive
   

הגדרת היקף הביקורת והקטגוריות שלה

• מגדירים את כלי הביקורת כך שיתעד את כל אירועי האבטחה:

  db2audit configure scope all status both errortype normal
  

  ההגדרה הזו קובעת:

  • ‫scope all: מבצע ביקורת על כל הקטגוריות (audit, ‏ checking, ‏ objmaint, ‏ secmaint, ‏ sysadmin, ‏ validate, ‏ context)
  • ‫status both: מתעד גם אירועים שהצליחו וגם אירועים שנכשלו
  • errortype normal: טיפול בשגיאות סטנדרטיות

הפעלת כלי הביקורת

1. להתחיל את הביקורת:

   db2audit start
   

2. מוודאים שהביקורת פעילה:

   db2audit describe
   

   הפלט אמור להציג את Audit active: "TRUE".

הגדרת syslog לקבלת יומני ביקורת של DB2

מגדירים את ה-daemon של ה-syslog במערכת כדי לקבל ולאחסן הודעות ביקורת של DB2.

‫Linux ‏ (rsyslog)

1. עורכים את קובץ ההגדרות של rsyslog:

   sudo nano /etc/rsyslog.conf
   

2. מוסיפים את השורה הבאה כדי לנתב את הודעות הביקורת של DB2 לקובץ ייעודי:

   user.info /var/log/db2/db2audit.log
   

3. יוצרים את הספרייה והקובץ של היומן:

   sudo mkdir -p /var/log/db2
   sudo touch /var/log/db2/db2audit.log
   sudo chmod 640 /var/log/db2/db2audit.log
   

4. מפעילים מחדש את rsyslog:

   sudo systemctl restart rsyslog
   

AIX (syslogd)

1. עורכים את קובץ התצורה של syslog:

   sudo vi /etc/syslog.conf
   

2. מוסיפים את השורה הבאה:

   user.info /var/log/db2/db2audit.log
   

3. יוצרים את הספרייה והקובץ של היומן:

   sudo mkdir -p /var/log/db2
   sudo touch /var/log/db2/db2audit.log
   sudo chmod 640 /var/log/db2/db2audit.log
   

4. מפעילים מחדש את syslogd:

   sudo refresh -s syslogd
   

חילוץ יומני ביקורת של DB2 ל-syslog

לחלץ יומני ביקורת שהועברו לארכיון ולשלוח אותם ל-daemon של ה-syslog של המערכת.

ניקוי יומני ביקורת והעברה לארכיון

• לפני החילוץ, צריך לנקות את כל רשומות הביקורת שממתינות ולהעביר לארכיון את יומן הביקורת הנוכחי:

  db2audit flush
  db2audit archive
  

  הפקודה archive יוצרת קבצים עם חותמות זמן בנתיב הארכיון (לדוגמה, db2audit.instance.log.0.20250110123456).

חילוץ יומני ביקורת ל-syslog

• מחלקים את יומני הביקורת שהועברו לארכיון ושולחים אותם ל-syslog באמצעות המתקן והעדיפות user.info:

  db2audit extract syslog user.info from files /db2audit/archive/db2audit.instance.log.0.*
  

  הפקודה הזו:

  • חילוץ רשומות ביקורת מקובצי היומן שהועברו לארכיון
  • הנתונים נשלחים לדמון של syslog במערכת עם מתקן user ועדיפות info
  • הדימון (daemon) של syslog מנתב את ההודעות בהתאם ל-/etc/syslog.conf או ל-/etc/rsyslog.conf

איך מוודאים שהיומנים נשלחים

• בודקים שהודעות הביקורת נכתבות לקובץ syslog:

  tail -f /var/log/db2/db2audit.log
  

  רשומות הביקורת של DB2 אמורות להופיע בקובץ היומן.

הגדרת rsyslog להעברת יומנים לסוכן Bindplane

מגדירים את rsyslog להעברת יומני ביקורת של DB2 לסוכן Bindplane.

1. יוצרים קובץ תצורה חדש של rsyslog:

   sudo nano /etc/rsyslog.d/50-db2-forward.conf
   

2. מוסיפים את ההגדרות הבאות כדי להעביר את היומנים לסוכן Bindplane:

   # Forward DB2 audit logs to Bindplane agent
   user.info @@127.0.0.1:1514
   

   הקידומת @@ מציינת העברת TCP. אם צריך, משתמשים ב-@ ל-UDP.

3. מפעילים מחדש את rsyslog:

   sudo systemctl restart rsyslog
   

חילוץ אוטומטי של יומני ביקורת

יוצרים סקריפט כדי לבצע אוטומציה לתהליך של ניקוי, העברה לארכיון וחילוץ.

יצירת סקריפט לחילוץ

1. יוצרים סקריפט לחילוץ אוטומטי של יומן הביקורת:

   sudo nano /usr/local/bin/db2audit-extract.sh
   

2. מוסיפים את התוכן הבא:

   #!/bin/bash
   # DB2 Audit Log Extraction Script
   
   # Set DB2 environment
   export DB2INSTANCE=db2inst1
   . /home/db2inst1/sqllib/db2profile
   
   # Flush pending audit records
   db2audit flush
   
   # Archive current audit log
   db2audit archive
   
   # Extract archived logs to syslog
   db2audit extract syslog user.info from files /db2audit/archive/db2audit.instance.log.0.*
   
   # Optional: Clean up old archived logs (older than 30 days)
   find /db2audit/archive -name "db2audit.instance.log.0.*" -mtime +30 -delete
   
   exit 0
   

3. הופכים את הסקריפט לניתן להפעלה:

   sudo chmod +x /usr/local/bin/db2audit-extract.sh
   

תזמון באמצעות cron

1. מתזמנים את הסקריפט כך שיפעל מדי פעם באמצעות cron:

   sudo crontab -e
   

2. מוסיפים את השורה הבאה כדי להריץ את הסקריפט כל שעה:

   בוחרים אחת מהאפשרויות האלה:

   0 * * * * /usr/local/bin/db2audit-extract.sh >> /var/log/db2/db2audit-extract.log 2>&1
   

   או להפעיל כל 15 דקות כדי לחלץ בתדירות גבוהה יותר:

   */15 * * * * /usr/local/bin/db2audit-extract.sh >> /var/log/db2/db2audit-extract.log 2>&1
   

אימות הטמעת היומנים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל חיפוש.

3. מריצים שאילתת חיפוש כדי לוודא שיומני DB2 נקלטים:

   metadata.log_type = "DB2_DB"
   

4. מוודאים שהיומנים מופיעים עם חותמת הזמן והשדות הנכונים.

   הערה: יכול להיות שיחלפו 5 עד 10 דקות עד שהיומנים יופיעו ב-Google SecOps אחרי ההגדרה הראשונית.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
msg	event.idm.read_only_udm.additional.fields	הערך נלקח מההודעה אם ההודעה שונה מ-""
מערכת	event.idm.read_only_udm.additional.fields	הערך נלקח מהמערכת אם המערכת != ""
תת-מערכת	event.idm.read_only_udm.additional.fields	הערך נלקח מתת-המערכת אם תת-המערכת != ""
auth_mechanism	event.idm.read_only_udm.extensions.auth.mechanism	צריך להגדיר את הערך "USERNAME_PASSWORD" לאירועים מסוג USER_LOGIN
CorrelationUser	event.idm.read_only_udm.intermediary.user.userid	הערך נלקח מ-CorrelationUser אם CorrelationUser != ""
סכום	event.idm.read_only_udm.metadata.description	הערך נלקח מהסכום
date_time	event.idm.read_only_udm.metadata.event_timestamp	ההמרה משדות התאריך והשעה לפורמט ISO8601 מתבצעת אם שני השדות לא ריקים ("")
leef_event_id	event.idm.read_only_udm.metadata.product_event_type	הערך נלקח מ-leef_event_id
	event.idm.read_only_udm.metadata.event_type	הערך נגזר מ-leef_event_id: אם הערך הוא אחד מהבאים [‎"102-87", "102-83"‎]‏ ← USER_LOGIN; אם הערך הוא אחד מהבאים [‎"102-6", "102-7", "102-8", "102-10", "102-24", "102-143"‎]‏ ← USER_RESOURCE_ACCESS או USER_RESOURCE_UPDATE_CONTENT בהתאם לכוונת המשתמש; אם הערך הוא ‎ "102-319"‎‏ ← USER_RESOURCE_ACCESS; אחרת GENERIC_EVENT
	event.idm.read_only_udm.metadata.product_name	מגדירים את הערך "DB2"
	event.idm.read_only_udm.metadata.vendor_name	מוגדרת כ-"IBM"
SSID	event.idm.read_only_udm.network.session_id	הערך נלקח מ-SSID אם SSID != ""
עבודה	event.idm.read_only_udm.principal.application	הערך נלקח מהמשימה אם המשימה != ""
sourceServiceName	event.idm.read_only_udm.principal.application	הערך נלקח מ-sourceServiceName
sourceHostName	event.idm.read_only_udm.principal.asset.hostname	הערך נלקח מ-sourceHostName אם sourceHostName != ""
principal_ip	event.idm.read_only_udm.principal.asset.ip	הערך נלקח מ-principal_ip לאירועים 102-319
product_id	event.idm.read_only_udm.principal.asset_id	הגדרה לערך "מזהה מוצר: %{product_id}" עבור 102-319 אירועים
sourceHostName	event.idm.read_only_udm.principal.hostname	הערך נלקח מ-sourceHostName אם sourceHostName != ""
principal_ip	event.idm.read_only_udm.principal.ip	הערך נלקח מ-principal_ip עבור אירועים 102-319
יוצר	event.idm.read_only_udm.principal.user.user_display_name	הערך נלקח מהיוצר
name	event.idm.read_only_udm.principal.user.user_display_name	הערך נלקח מהשם אם השם שונה מ-""
AuthenticatedUser	event.idm.read_only_udm.principal.user.userid	הערך נלקח מ-AuthenticatedUser אם AuthenticatedUser != ""
sourceUserName	event.idm.read_only_udm.principal.user.userid	הערך נלקח מ-sourceUserName
usrName	event.idm.read_only_udm.principal.user.userid	הערך נלקח מ-usrName
_action	event.idm.read_only_udm.security_result.action	נגזר מסכום: אם מכיל 'successful' ‏→ ALLOW; אחרת BLOCK לאירועים מסוג USER_LOGIN
deviceHostName	event.idm.read_only_udm.target.asset.hostname	הערך נלקח מ-deviceHostName
conn_location3	event.idm.read_only_udm.target.asset.hostname	הערך נלקח מ-conn_location3 אם conn_location3 != ""‎
file_name	event.idm.read_only_udm.target.file.full_path	הערך נלקח מ-file_name אם file_name != ""‎
deviceHostName	event.idm.read_only_udm.target.hostname	הערך נלקח מ-deviceHostName
conn_location3	event.idm.read_only_udm.target.hostname	הערך נלקח מ-conn_location3 אם conn_location3 != ""
conn_location, conn_location2	event.idm.read_only_udm.target.location.name	הערך הוא שרשור של conn_location ו-conn_location2 אם שניהם שונים מ-""
deviceProcessName	event.idm.read_only_udm.target.process.command_line	הערך נלקח מ-deviceProcessName
SQL	event.idm.read_only_udm.target.process.command_line	הערך נלקח מ-SQL אם SQL != ""‎
Connection_Type	event.idm.read_only_udm.target.resource.attribute.labels	המפתח Connection Type עם ערך מ-Connection_Type
תוכנית	event.idm.read_only_udm.target.resource.attribute.labels	מזינים את המילה Plan עם הערך מהתוכנית
DB2_Subsystem	event.idm.read_only_udm.target.resource.attribute.labels	המפתח DB2 Subsystem עם ערך מ-DB2_Subsystem
Priv_Check_Code	event.idm.read_only_udm.target.resource.attribute.labels	המפתח "Priv Check Code" עם הערך מ-Priv_Check_Code
Table_Name	event.idm.read_only_udm.target.resource.attribute.labels	המפתח "שם הטבלה" עם הערך מ-Table_Name
MessageType	event.idm.read_only_udm.target.resource.attribute.labels	המפתח "סוג ההודעה" עם ערך מ-MessageType
Check_type	event.idm.read_only_udm.target.resource.attribute.labels	מפתח "סוג המחאה" עם ערך מ-Check_type
deviceAction	event.idm.read_only_udm.target.resource.attribute.labels	המפתח 'פעולת המכשיר' עם ערך שמופה מ-deviceAction: ‏ G → GRANT, ‏ R → REVOKE
SSID	event.idm.read_only_udm.target.resource.attribute.labels	המפתח "SSID" עם ערך מ-SSID אם הערך != ""
SQL	event.idm.read_only_udm.target.resource.attribute.labels	המפתח שאילתת SQL עם ערך מ-SQL אם SQL != ""
messageid	event.idm.read_only_udm.target.resource.id	הערך נלקח מ-messageid
Object_Class_Code	event.idm.read_only_udm.target.resource.parent	הערך נלקח מ-Object_Class_Code
obj	event.idm.read_only_udm.target.resource.name	הערך נלקח מ-obj
resource_name	event.idm.read_only_udm.target.resource.name	הערך נלקח מ-resource_name שחולץ מ-SQL אם SQL != "" ולא ריק
Database_Name	event.idm.read_only_udm.target.resource.name	הערך נלקח מ-Database_Name
objtyp	event.idm.read_only_udm.target.resource.resource_subtype	הערך נלקח מ-objtyp (באותיות רישיות) אם objtyp != ""‎
סוג	event.idm.read_only_udm.target.resource.resource_subtype	נגזר מהסוג: T ‏← TABLE, ‏ V ‏← VIEW, ‏ X ‏← AUXILIARY TABLE
	event.idm.read_only_udm.target.resource.resource_type	ההגדרה היא 'מסד נתונים'
principal_hostname	event.idm.read_only_udm.principal.asset.hostname וגם event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
category	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
audit event	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
event correlator	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
instance name	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
application name	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
archive path	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
execution id	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
application id	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
authid	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
event status	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
access attempted	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
access_approval_reason	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
timestamp_1	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
object type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
plugin name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
auth type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
System" and "Subsystem	additional.fields	מופה מיומן השינויים
ConnectionType	principal.process.pid	מופה מיומן השינויים
plan	principal.resource.name	מופה מיומן השינויים
SQL	principal.process.command_line	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.