Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Elastic Auditbeat-Logs erfassen

Parserversion: 5.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Elastic Auditbeat-Logs mit Amazon S3 in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den JSON-Logs, normalisiert sie in das Unified Data Model (UDM) und reichert die Daten mit zusätzlichem Kontext wie Hostinformationen, Netzwerkdetails und Klassifizierungen von Sicherheitsergebnissen an. Es verarbeitet verschiedene Ereignistypen, indem event1.action und andere Felder bestimmten UDM-Metadaten-Ereignistypen zugeordnet werden. Standardmäßig wird GENERIC_EVENT oder, wenn möglich, spezifischere Kategorien verwendet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz.
Privilegierter Zugriff auf den Elastic Auditbeat-Server.
Privilegierter Zugriff auf den Logstash-Server.
Privilegierter Zugriff auf AWS (S3, Identity and Access Management (IAM)).

Voraussetzungen für Elastic Auditbeat abrufen

Prüfen Sie, ob Elastic Auditbeat auf Ihren Servern installiert und konfiguriert ist.
Installieren Sie Logstash auf einem dedizierten Server oder zusammen mit Auditbeat.
Notieren Sie sich den Speicherort der Auditbeat-Konfigurationsdatei (normalerweise /etc/auditbeat/auditbeat.yml).

AWS S3-Bucket und IAM für Google SecOps konfigurieren

Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen.
Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung (z. B. elastic-auditbeat-logs).
Erstellen Sie einen Nutzer gemäß diesem Nutzerhandbuch: IAM-Nutzer erstellen.
Wählen Sie den erstellten Nutzer aus.
Wählen Sie den Tab Sicherheitsanmeldedaten aus.
Klicken Sie im Bereich Access Keys (Zugriffsschlüssel) auf Create Access Key (Zugriffsschlüssel erstellen).
Wählen Sie Drittanbieterdienst als Anwendungsfall aus.
Klicken Sie auf Weiter.
Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
Klicken Sie auf Zugriffsschlüssel erstellen.
Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel zur späteren Verwendung zu speichern.
Klicken Sie auf Fertig.
Wählen Sie den Tab Berechtigungen aus.
Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
Wählen Sie Berechtigungen hinzufügen aus.
Wählen Sie Richtlinien direkt anhängen aus.
Suchen Sie nach der Richtlinie AmazonS3FullAccess.
Wählen Sie die Richtlinie aus.
Klicken Sie auf Weiter.
Klicken Sie auf Berechtigungen hinzufügen.

Auditbeat für das Senden an Logstash konfigurieren

Bearbeiten Sie die Auditbeat-Konfigurationsdatei /etc/auditbeat/auditbeat.yml.
Kommentieren Sie alle vorhandenen Ausgabekonfigurationen (Elasticsearch usw.) aus.

Fügen Sie die Logstash-Ausgabekonfiguration hinzu:

# ==================== Outputs ====================
output.logstash:
  hosts: ["localhost:5044"]
  # If Logstash is on a different server, use its IP/hostname
  # hosts: ["logstash-server:5044"]

  # Optional: Enable load balancing if using multiple Logstash instances
  loadbalance: true

  # Optional: Configure bulk settings (default is 2048)
  bulk_max_size: 2048

  # Optional: Configure SSL if needed
  # ssl.enabled: true
  # ssl.certificate_authorities: ["/path/to/ca.crt"]

Starten Sie Auditbeat neu, um die Änderungen zu übernehmen:
```
sudo systemctl restart auditbeat
```

Logstash-Pipeline konfigurieren

Erstellen Sie eine neue Logstash-Pipeline-Konfigurationsdatei /etc/logstash/conf.d/auditbeat-to-s3.conf:

input {
  beats {
    port => 5044
    # Optional: Configure SSL
    # ssl => true
    # ssl_certificate => "/path/to/server.crt"
    # ssl_key => "/path/to/server.key"
  }
}

filter {
  # Add any necessary transformations here
  # The data should remain in raw JSON format for Chronicle parsing

  # Optional: Add metadata for debugging
  mutate {
    add_field => { "[@metadata][pipeline]" => "auditbeat-to-s3" }
  }
}

output {
  s3 {
    # AWS credentials
    access_key_id => "YOUR_AWS_ACCESS_KEY_ID"
    secret_access_key => "YOUR_AWS_SECRET_ACCESS_KEY"

    # S3 bucket configuration
    region => "us-east-1"  # Replace with your bucket region
    bucket => "elastic-auditbeat-logs"  # Replace with your bucket name

    # Organize logs by date using Logstash timestamp interpolation
    prefix => "auditbeat/%{+YYYY}/%{+MM}/%{+dd}/"

    # File rotation settings
    size_file => 10485760  # 10MB files
    time_file => 5  # Rotate every 5 minutes

    # Compression for cost optimization
    encoding => "gzip"

    # Output format - keep as JSON for Chronicle
    codec => "json_lines"

    # Optional: Server-side encryption
    # server_side_encryption => true
    # server_side_encryption_algorithm => "AES256"
  }

  # Optional: Keep a local copy for debugging
  # stdout { 
  #   codec => rubydebug 
  # }
}

Ersetzen Sie YOUR_AWS_ACCESS_KEY_ID und YOUR_AWS_SECRET_ACCESS_KEY durch Ihre tatsächlichen AWS-Anmeldedaten.
Aktualisieren Sie die Werte region und bucket entsprechend Ihrer S3-Konfiguration.
Starten Sie Logstash oder starten Sie es neu:

sudo systemctl restart logstash

(Optional) IAM-Nutzer und ‑Schlüssel mit Lesezugriff für Google SecOps erstellen

Rufen Sie die AWS-Konsole > IAM > Nutzer auf.
Klicken Sie auf Nutzer hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Nutzer: Geben Sie secops-reader ein.
- Zugriffstyp: Wählen Sie Zugriffsschlüssel – Programmatischer Zugriff aus.
Klicken Sie auf Nutzer erstellen.
Richtlinie für minimalen Lesezugriff (benutzerdefiniert) anhängen: Nutzer > secops-reader > Berechtigungen > Berechtigungen hinzufügen > Richtlinien direkt anhängen > Richtlinie erstellen.

JSON:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::elastic-auditbeat-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::elastic-auditbeat-logs"
    }
  ]
}

Name = secops-reader-policy.
Klicken Sie auf Richtlinie erstellen > Suchen/Auswählen > Weiter > Berechtigungen hinzufügen.
Erstellen Sie einen Zugriffsschlüssel für secops-reader: Sicherheitsanmeldedaten > Zugriffsschlüssel.
Klicken Sie auf Zugriffsschlüssel erstellen.
Laden Sie die Datei .CSV herunter. Diese Werte fügen Sie in den Feed ein.

Feed in Google SecOps konfigurieren, um Elastic Auditbeat-Logs aufzunehmen

Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
Klicken Sie auf + Neuen Feed hinzufügen.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Elastic Auditbeat Logs.
Wählen Sie als Quelltyp Amazon S3 V2 aus.
Wählen Sie Elastic Audit Beats als Protokolltyp aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- S3-URI: s3://elastic-auditbeat-logs/auditbeat/
- Optionen zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.
- Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
- Zugriffsschlüssel-ID: Der Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket.
- Geheimer Zugriffsschlüssel: Der geheime Schlüssel des Nutzers mit Zugriff auf den S3-Bucket.
- Asset-Namespace: Der Asset-Namespace.
- Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet wird.
Klicken Sie auf Weiter.
Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`@timestamp`	`metadata.event_timestamp`	Der Zeitstempel des Ereignisses wird aus dem Feld `@timestamp` geparst.
`agent.id`	`observer.asset_id`	Präfix „agent_id: “.
`agent.type`	`observer.application`	Die Beobachteranwendung ist auf den Agententyp festgelegt.
`agent.version`	`observer.platform_version`	Die Version der Beobachterplattform wird auf die Agent-Version festgelegt.
`client.bytes`	`principal.labels`	Wird als Label mit dem Schlüssel „Bytes“ hinzugefügt. In String umgewandelt.
`client.ip`	`principal.ip`	Die Hauptkonto-IP wird auf die Client-IP festgelegt.
`client.packets`	`principal.labels`	Als Label mit dem Schlüssel „Packets“ hinzugefügt. In String umgewandelt.
`client.port`	`principal.port`	Der Hauptport wird auf den Clientport festgelegt. In Ganzzahl umgewandelt.
`cloud.availability_zone`	`principal.cloud.availability_zone`	Die primäre Cloud-Verfügbarkeitszone wird auf die Cloud-Verfügbarkeitszone festgelegt.
`cloud.instance.id`	`principal.resource.id`	Die Hauptkonto-Ressourcen-ID ist auf die Cloud-Instanz-ID festgelegt.
`cloud.machine.type`	`principal.resource.resource_subtype`	Der Hauptressourcen-Untertyp ist auf den Cloud-Maschinentyp festgelegt.
`cloud.region`	`principal.cloud.availability_zone`	Wenn eine Cloud-Region vorhanden ist, überschreibt sie die Verfügbarkeitszone.
`destination.bytes`	`target.labels`	Wird als Label mit dem Schlüssel „Bytes“ hinzugefügt. In String umgewandelt.
`destination.ip`	`target.ip`	Die Ziel-IP wird auf die Ziel-IP festgelegt.
`destination.packets`	`target.labels`	Als Label mit dem Schlüssel „Packets“ hinzugefügt. In String umgewandelt.
`destination.port`	`target.port`	Der Zielport wird auf den Zielport festgelegt. In Ganzzahl umgewandelt.
`ecs.version`	`metadata.product_version`	Falls vorhanden, wird der Wert aus `jsonPayload.@metadata.version` überschrieben.
`event1.category`	`security_result.category_details`	Alle Werte werden zu „category_details“ hinzugefügt.
`event1.duration`	`network.session_duration.seconds`	In Ganzzahl umgewandelt.
`event1.id`	`metadata.product_log_id`	Die Metadaten-Produktprotokoll-ID wird auf die Ereignis-ID festgelegt.
`event1.outcome`	`extensions.auth.auth_details`	Die Authentifizierungsdetails werden auf das Ereignisergebnis festgelegt.
`file.extension`	`target.file.mime_type`	Der MIME-Typ der Zieldatei wird auf die Dateiendung festgelegt.
`file.hash.sha1`	`target.file.sha1`	Der SHA-1-Wert der Zieldatei wird auf den SHA-1-Hash der Datei festgelegt.
`file.path`	`target.file.full_path`	Der vollständige Pfad der Zieldatei wird auf den Pfad festgelegt.
`file.size`	`target.file.size`	In uinteger umgewandelt.
`group.id`	`principal.group.product_object_id`	Die Objekt-ID des Hauptgruppenprodukts wird auf die Gruppen-ID festgelegt.
`group.name`	`principal.group.group_display_name`	Der Anzeigename der Hauptgruppe wird auf den Gruppennamen festgelegt.
`host.architecture`	`principal.asset.hardware.cpu_platform`	In der temporären Variable `hardware.cpu_platform` gespeichert und dann in `principal.asset.hardware` zusammengeführt.
`host.hostname`	`principal.hostname`	Der Hostname des Hauptkontos wird auf den Hostnamen des Hosts festgelegt.
`host.id`	`principal.asset.asset_id`	Präfix „Host Id: “.
`host.ip`	`principal.asset.ip`	Alle Werte werden den Haupt-Asset-IPs hinzugefügt.
`host.mac`	`principal.mac`	Bindestriche werden durch Doppelpunkte ersetzt.
`host.name`	`principal.hostname`, `observer.hostname`	Falls vorhanden, wird der Wert aus `host.hostname` überschrieben.
`host.os.kernel`	`principal.platform_patch_level`	Das Patch-Level der Hauptplattform ist auf den Kernel des Hostbetriebssystems festgelegt.
`host.os.version`	`principal.platform_version`	Die Hauptplattformversion ist auf die Version des Hostbetriebssystems festgelegt. In der temporären Variable `host_os_version` gespeichert.
`httpRequest.remoteIp`	`target.ip`	Wenn vorhanden und keine andere Ziel-IP festgelegt ist, wird dieser Wert verwendet.
`httpRequest.requestMethod`	`network.http.method`	Die HTTP-Methode des Netzwerks wird auf die HTTP-Anfragemethode festgelegt.
`httpRequest.requestSize`	`network.sent_bytes`	In uinteger umgewandelt.
`httpRequest.requestUrl`	`network.http.referral_url`	Die HTTP-Referrer-URL des Netzwerks wird auf die HTTP-Anfrage-URL festgelegt.
`httpRequest.responseSize`	`network.received_bytes`	In uinteger umgewandelt.
`httpRequest.serverIp`	`principal.ip`	Wenn vorhanden und keine andere Haupt-IP festgelegt ist, wird dieser Wert verwendet.
`httpRequest.status`	`network.http.response_code`	In Ganzzahl umgewandelt.
`httpRequest.userAgent`	`network.http.user_agent`	Der HTTP-User-Agent des Netzwerks wird auf den HTTP-Anfrage-User-Agent festgelegt.
`insertId`	`network.session_id`	Die Netzwerksitzungs-ID wird auf die Einfüge-ID festgelegt.
`jsonPayload.@metadata.beat`	`metadata.product_event_type`	Der Ereignistyp des Metadatenprodukts ist auf den Metadaten-Beat festgelegt.
`jsonPayload.@metadata.version`	`metadata.product_version`	Die Metadatenproduktversion wird auf die Metadatenversion festgelegt.
`jsonPayload.destination.ip`	`target.ip`	Wenn vorhanden und keine andere Ziel-IP festgelegt ist, wird dieser Wert verwendet.
`jsonPayload.destination.port`	`target.port`	Wenn vorhanden und kein anderer Zielport festgelegt ist, wird dieser Wert verwendet. In Ganzzahl umgewandelt.
`jsonPayload.event1.category`	`security_result.category_details`	Alle Werte werden zu „category_details“ hinzugefügt.
`jsonPayload.file.path`	`target.file.full_path`	Wenn vorhanden und kein anderer Zielpfad festgelegt ist, wird dieser Wert verwendet.
`jsonPayload.process.executable`	`principal.process.file.full_path`, `target.process.file.full_path`	Wird verwendet, um den vollständigen Pfad für den Haupt- und den Zielprozess festzulegen, wenn kein anderer Wert vorhanden ist.
`jsonPayload.process.name`	`principal.application`	Wenn vorhanden und keine andere Hauptanwendung festgelegt ist, wird dieser Wert verwendet.
`jsonPayload.process.parent.pid`	`principal.process.pid`	Wenn vorhanden und keine andere PID für den Hauptprozess festgelegt ist, wird dieser Wert verwendet. In String umgewandelt.
`jsonPayload.process.parent.ppid`	`principal.process.parent_process.pid`	Wenn vorhanden und keine andere PID des übergeordneten Hauptprozesses festgelegt ist, wird dieser Wert verwendet. In String umgewandelt.
`jsonPayload.process.parent.process.executable`	`principal.process.file.full_path`	Wenn vorhanden und kein anderer vollständiger Pfad für den Hauptprozess festgelegt ist, wird dieser Wert verwendet.
`jsonPayload.process.parent.process.exe`	`principal.process.file.full_path`	Wenn vorhanden und kein anderer vollständiger Pfad für den Hauptprozess festgelegt ist, wird dieser Wert verwendet.
`jsonPayload.process.parent.process.title`	`principal.process.command_line`	Wenn vorhanden und keine andere Befehlszeile für den Hauptprozess festgelegt ist, wird dieser Wert verwendet.
`jsonPayload.process.pid`	`target.process.pid`	Die PID des Zielprozesses wird auf die PID des JSON-Nutzlastprozesses festgelegt.
`jsonPayload.process.title`	`target.process.command_line`	Die Befehlszeile des Zielprozesses wird auf den Titel des JSON-Nutzlastprozesses festgelegt.
`jsonPayload.user.id`	`target.user.userid`	Wenn vorhanden und keine andere Zielnutzer-ID festgelegt ist, wird dieser Wert verwendet. In String umgewandelt.
`jsonPayload.user.name`	`target.user.user_display_name`	Wenn vorhanden und kein anderer Anzeigename für den Ziellnutzer festgelegt ist, wird dieser Wert verwendet.
`msg`	`metadata.description`	Die Metadatenbeschreibung wird auf die Nachricht festgelegt.
`network.bytes`	`network.sent_bytes`	In uinteger umgewandelt.
`network.community_id`	`network.community_id`	Die Netzwerk-Community-ID wird auf die Netzwerk-Community-ID festgelegt.
`network.transport`	`network.ip_protocol`	In Großbuchstaben umgewandelt?
`package.description`	`security_result.description`	Die Beschreibung des Sicherheitsergebnisses wird auf die Paketbeschreibung festgelegt.
`package.name`	`security_result.rule_name`	Der Name der Sicherheitsergebnisregel wird auf den Paketnamen festgelegt.
`package.reference`	`security_result.about.url`	Die URL des Sicherheitsergebnisses wird auf die Paketreferenz festgelegt.
`package.size`	`security_result.about.file.size`	In uinteger umgewandelt.
`package.type`	`security_result.about.file.mime_type`, `security_result.rule_type`	Der MIME-Typ und der Regeltyp des Sicherheitsergebnisses werden auf den Pakettyp festgelegt.
`process.created`	`principal.asset.creation_time`	Wenn vorhanden, wird dieser Wert verwendet. Wird als ISO8601 geparst.
`process.entity_id`	`principal.process.product_specific_process_id`	Präfix „Process:“
`process.executable`	`principal.process.file.full_path`, `target.process.file.full_path`	Wird verwendet, um den vollständigen Pfad für den Haupt- und den Zielprozess festzulegen, wenn kein anderer Wert vorhanden ist.
`process.hash.sha1`	`principal.process.file.sha1`	Der SHA-1-Wert des Hauptprozesses wird auf den SHA-1-Hash des Prozesses festgelegt.
`process.name`	`principal.application`	Wenn vorhanden und keine andere Hauptanwendung festgelegt ist, wird dieser Wert verwendet.
`process.pid`	`principal.process.pid`	Wenn vorhanden und keine andere PID für den Hauptprozess festgelegt ist, wird dieser Wert verwendet. In String umgewandelt.
`process.ppid`	`principal.process.parent_process.pid`	Wenn vorhanden und keine andere PID des übergeordneten Hauptprozesses festgelegt ist, wird dieser Wert verwendet. In String umgewandelt.
`process.start`	`principal.asset.creation_time`	Wenn `process.created` nicht vorhanden ist und dieses Feld vorhanden ist, wird dieser Wert verwendet. Wird als ISO8601 geparst.
`resource.labels.backend_service_name`	`target.resource.name`	Der Name der Zielressource wird auf den Namen des Backend-Dienstes der Ressource festgelegt.
`resource.labels.forwarding_rule_name`	`target.resource.attribute.labels`	Wird als Label mit dem Schlüssel „Name der Weiterleitungsregel“ hinzugefügt.
`resource.labels.project_id`	`target.resource.product_object_id`	Die Produktobjekt-ID der Zielressource wird auf die Projekt-ID der Ressource festgelegt.
`resource.labels.target_proxy_name`	`target.resource.attribute.labels`	Als Label mit dem Schlüssel „Ziel-Proxy-Name“ hinzugefügt.
`resource.labels.url_map_name`	`target.resource.attribute.labels`	Wird als Label mit dem Schlüssel „URL-Zuordnungsname“ hinzugefügt.
`server.bytes`	`intermediary.labels`	Wird als Label mit dem Schlüssel „Bytes“ hinzugefügt. In String umgewandelt.
`server.ip`	`intermediary.ip`	Die Zwischen-IP-Adresse wird auf die Server-IP-Adresse festgelegt.
`server.packets`	`intermediary.labels`	Als Label mit dem Schlüssel „Packets“ hinzugefügt. In String umgewandelt.
`server.port`	`intermediary.port`	Der Zwischenport wird auf den Serverport festgelegt. In Ganzzahl umgewandelt.
`service.type`	`target.application`	Die Zielanwendung ist auf den Diensttyp festgelegt.
`source.bytes`	`src.labels`	Wird als Label mit dem Schlüssel „Bytes“ hinzugefügt. In String umgewandelt.
`source.ip`	`src.ip`	Die Quell-IP-Adresse wird auf die Quell-IP-Adresse festgelegt.
`source.packets`	`src.labels`	Als Label mit dem Schlüssel „Packets“ hinzugefügt. In String umgewandelt.
`source.port`	`src.port`	Der Quellport wird auf den Quellport festgelegt. In Ganzzahl umgewandelt.
`system.audit.host.boottime`	`about.asset.last_boot_time`	Wird als ISO8601 geparst.
`system.audit.host.hostname`	`about.hostname`	Der Hostname für „Über“ ist auf den Hostnamen des Systemprüfhosts festgelegt.
`system.audit.host.id`	`principal.user.userid`	Die Hauptkonto-Nutzer-ID wird auf die Host-ID für die Systemprüfung festgelegt.
`system.audit.host.mac.0`	`about.mac`	Die MAC-Adresse unter „Info“ wird auf die MAC-Adresse des ersten Systemprüfhosts festgelegt.
`trace`	`target.process.file.full_path`	Wenn vorhanden und kein anderer vollständiger Pfad für den Zielprozess festgelegt ist, wird dieser Wert verwendet.
`user.effective.id`	`target.user.userid`	Wenn vorhanden und keine andere Zielnutzer-ID festgelegt ist, wird dieser Wert verwendet.
`user.effective.name`	`target.user.user_display_name`	Wenn vorhanden und kein anderer Anzeigename für den Ziellnutzer festgelegt ist, wird dieser Wert verwendet.
`user.id`	`target.user.userid`	Wenn vorhanden und keine andere Zielnutzer-ID festgelegt ist, wird dieser Wert verwendet. In String umgewandelt.
`user.name`	`target.user.user_display_name`	Wenn vorhanden und kein anderer Anzeigename für den Ziellnutzer festgelegt ist, wird dieser Wert verwendet.
–	`metadata.event_type`	Legen Sie zuerst „GENERIC_EVENT“ fest. Geändert basierend auf der Logik, die in den Kommentaren des Parser-Codes beschrieben ist.
–	`metadata.log_type`	Legen Sie diesen Wert auf „ELASTIC_AUDITBEAT“ fest.
–	`metadata.product_name`	Legen Sie diesen Wert auf „Auditbeat“ fest.
–	`metadata.vendor_name`	Legen Sie „Elastic“ fest.
–	`extensions.auth.type`	Für USER_LOGIN- und USER_LOGOUT-Ereignisse auf „AUTHTYPE_UNSPECIFIED“ festgelegt.
`auditd.data.syscall`	`metadata.product_event_type`	Der Ereignistyp des Metadatenprodukts ist auf den auditd-Systemaufruf festgelegt.
`process.parent.process.title`	`event.idm.read_only_udm.principal.process.parent_process.command_line`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.executable`	`event.idm.read_only_udm.principal.process.parent_process.file.full_path`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.executable`	`event.idm.read_only_udm.principal.process.parent_process.parent_process.file.full_path`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.title`	`event.idm.read_only_udm.principal.process.parent_process.parent_process.command_line`	Aus Änderungsprotokoll zugeordnet
`process.title`	`event.idm.read_only_udm.principal.process.command_line`	Aus Änderungsprotokoll zugeordnet
`auditd.data.socket.addr`	`event.idm.read_only_udm.target.ip` und `event.idm.read_only_udm.target.asset.ip`	Aus Änderungsprotokoll zugeordnet
`auditd.data.reason`	`event.idm.read_only_udm.security_result.summary`	Aus Änderungsprotokoll zugeordnet
`auditd.data.terminal`	`event.idm.read_only_udm.network.application_protocol`	Aus Änderungsprotokoll zugeordnet
`auditd.summary.object.secondary`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`auditd.data.addr`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`auditd.data.hostname`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`auditd.summary.object.secondary`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`auditd.paths`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`auditd.data`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`auditd.summary.actor`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`auditd.summary.object`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`container.labels`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`container`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.selinux`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`environment`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`process.args`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.args`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.args`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`auditd.msg_type`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`auditd.summary.how`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`event1.kind`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`event1.module`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.effective.group.id`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.effective.group.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.filesystem.group.id`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.filesystem.group.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.filesystem.id`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.filesystem.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.group.id`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.group.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.saved.group.id`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.saved.group.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.saved.id`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`user.saved.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`container.image.name`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.start_time`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`process.parent.pid`	`event.idm.read_only_udm.principal.process.parent_process.pid`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.pid`	`event.idm.read_only_udm.principal.process.parent_process.parent_process.pid`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.parent.pid`	`event.idm.read_only_udm.principal.process.parent_process.parent_process.parent_process.pid`	Aus Änderungsprotokoll zugeordnet
`auditd.result`	`event.idm.read_only_udm.security_result.action_details`	Aus Änderungsprotokoll zugeordnet
`auditd.result`	`event.idm.read_only_udm.security_result.action`	Aus Änderungsprotokoll zugeordnet
`auditd.sequence`	`event.idm.read_only_udm.metadata.product_log_id`	Aus Änderungsprotokoll zugeordnet
`file.name`	`event.idm.read_only_udm.target.file.names`	Aus Änderungsprotokoll zugeordnet
`file`	`event.idm.read_only_udm.target.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`auditd.data.socket`	`event.idm.read_only_udm.target.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`host_os_platform`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`host.os`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`host.containerized`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.name`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.name`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.owner.id`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`process.parent.process.parent.process.owner.name`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`process.working_directory`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`agent.name`	`event.idm.read_only_udm.observer.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`file.owner", "file.uid", "file.drive_letter", "file.type", "file.inode", "file.ctime", and "file.mtime`	`target.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`event.dataset" and "event.type`	`additional.fields`	Aus Änderungsprotokoll zugeordnet
`tag`	`security_result.category_details`	Aus Änderungsprotokoll zugeordnet
`agent_ephemeral_id" and "ts`	`additional.fields`	Aus Änderungsprotokoll zugeordnet
`os_name", "os_build", and "env`	`principal.resource.attribute.labels`	Aus Änderungsprotokoll zugeordnet
`VIRTUAL_MACHINE`	`principal.resource.resource_type`	Aus Änderungsprotokoll zugeordnet
`jsonPayload.process.parent.process.pid`	`principal.process.pid`	Aus Änderungsprotokoll zugeordnet
`jsonPayload.network.direction`	`network.direction`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten