Collecter les journaux F5 AFM

Version de l'analyseur : 23.0

Compatible avec :

Ce document explique comment ingérer les journaux F5 Advanced Firewall Management (AFM) dans Google Security Operations à l'aide de l'agent Bindplane.

F5 BIG-IP AFM est un module de pare-feu réseau qui génère des messages syslog pour les actions de règle de pare-feu (acceptation, suppression, rejet), les événements d'intelligence IP et les erreurs TCP. L'analyseur extrait les champs des journaux au format CSV ou syslog, et les mappe au modèle UDM (Unified Data Model).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et l'appliance F5 BIG-IP
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à F5 BIG-IP et F5 Advanced Firewall Management

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  tcplog:
    listen_address: "0.0.0.0:5145"

exporters:
  chronicle/f5_afm:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: F5_AFM
    raw_log_field: body

service:
  pipelines:
    logs/f5_afm_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/f5_afm

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 5145 est utilisé pour la journalisation à haut débit de F5 AFM (ajustez-le en fonction de votre configuration F5).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/f5_afm:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: F5_AFM
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Activer F5 BIG-IP Advanced Firewall Manager

  1. Connectez-vous à la console de gestion de l'appareil BIG-IP.
  2. Accédez à Système > Licence.
  3. Vérifiez que le Gestionnaire de pare-feu avancé est sous licence et activé.
  4. Pour activer le Gestionnaire de pare-feu avancé, accédez à Système> Ressource> Provisionnement.
  5. Cochez la case dans la colonne Provisionnement, puis sélectionnez Nominal dans la liste.
  6. Cliquez sur Envoyer.

Configurer un pool de journalisation dans F5 AFM

  1. Accédez à Trafic local > Pools.
  2. Cliquez sur Créer.
  3. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom pour le pool de journalisation (par exemple, logging_pool).
    • Health Monitor (Surveillance de l'état) : dans la liste Available (Disponible), sélectionnez TCP, puis cliquez sur <<.
  4. Dans l'onglet Ressource, sélectionnez le pool de journaux que vous avez créé précédemment dans la liste Nom du nœud.
  5. Dans le champ Adresse, saisissez l'adresse IP de l'agent Bindplane.
  6. Dans le champ Port de service, saisissez 5145 ou un autre port, tel que défini dans l'agent BindPlane.
  7. Cliquez sur Ajouter.
  8. Cliquez sur Terminer.

Configurer la destination des journaux formatés dans F5 AFM

  1. Accédez à Système> Journaux> Configuration> Destinations des journaux.
  2. Cliquez sur Créer.
  3. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom pour la destination du format de journalisation (par exemple, Logging_Format_Destination).
    • Description : saisissez une description.
    • Type : sélectionnez Syslog distant.
    • Format Syslog : sélectionnez Syslog.
    • Destination des journaux à haut débit : sélectionnez la destination des journaux à haut débit (par exemple, Logging_HSL_Destination).
  4. Cliquez sur Terminé.

Configurer l'éditeur de journaux dans F5 AFM

  1. Accédez à System> Logs> Configuration> Log Publishers.
  2. Cliquez sur Créer.
  3. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom pour l'éditeur (par exemple, Log_Publisher).
    • Description : saisissez une description.
    • Destinations : sélectionnez le nom de la destination du journal que vous avez créé à l'étape Configurer le pool de journalisation dans F5 AFM, puis cliquez sur << pour ajouter des éléments à la liste Sélectionné.

Configurer un profil de journalisation dans F5 AFM

  1. Accédez à Security> Event Logs> Logging Profile (Sécurité > Journaux d'événements > Profil de journalisation).
  2. Cliquez sur Créer.
  3. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom pour le profil de journal (par exemple, Logging_Profile).
    • Pare-feu réseau : cochez la case Activé.
    • Éditeur : sélectionnez l'éditeur de journaux que vous avez configuré précédemment (par exemple, Log_Publisher).
    • Correspondances de règles de journal : cochez les cases Accepter, Supprimer et Rejeter.
    • Enregistrer les erreurs d'adresse IP : cochez la case Activé.
    • Consigner les erreurs TCP : cochez la case Activé.
    • Consigner les événements TCP : cochez la case Activé.
    • Format de stockage : sélectionnez Liste de champs.
    • Délimiteur : saisissez , (virgule) comme délimiteur pour les événements.
    • Options de stockage : sélectionnez toutes les options dans la liste Éléments disponibles, puis cliquez sur <<.
    • Dans l'onglet IP Intelligence, sélectionnez l'éditeur de journaux que vous avez configuré (par exemple, Log_Publisher).
  4. Cliquez sur Terminé.

Configurer l'association de profils de serveur virtuel dans F5 AFM

  1. Accédez à Trafic local > Serveurs virtuels.
  2. Sélectionnez le serveur virtuel à modifier.
  3. Accédez à l'onglet Sécurité > Règles.
  4. Dans la liste Profil de journal, sélectionnez Activé.
  5. Dans le champ Profil, sélectionnez Logging_Profile, puis cliquez sur <<.
  6. Cliquez sur Mettre à jour.

Table de mappage UDM

Champ du journal Mappage UDM Logique
acl_policy_name security_result.detection_fields.acl_policy_name Valeur de la colonne 22 si le format du journal est SYSLOG, sinon valeur de la colonne 13
acl_policy_type security_result.detection_fields.acl_policy_type Valeur de la colonne 21 si le format de journal est SYSLOG, sinon valeur de la colonne 18
acl_rule_name security_result.rule_name Valeur de la colonne 23 si le format du journal est SYSLOG, sinon valeur de la colonne 11
acl_rule_uuid security_result.rule_id Valeur du champ acl_rule_uuid à partir du modèle grok
action security_result.action Si la valeur de column25 est Drop, Reject ou Block, alors BLOQUER, sinon si la valeur de column25 est Accept, Accept decisively, Established ou Allow, alors AUTORISER
attackID security_result.detection_fields.attackID Valeur de la colonne 12 si le format de journal est CSV sans src_ip
bigip_hostname intermediary.hostname Valeur de la colonne 2 si le format de journal est SYSLOG, sinon valeur de la colonne 3
bigip_ip intermediary.ip Valeur de la colonne 2 si le format du journal est SYSLOG, sinon valeur de la colonne 1
context_name additional.fields.context_name.string_value Valeur de column4 si le format de journal est SYSLOG, sinon valeur de column10 s'il existe src_ip, sinon valeur de column5
context_type additional.fields.context_type.string_value Valeur de column3 si le format de journal est SYSLOG, sinon valeur de column4 s'il existe src_ip, sinon valeur de column4
dest_fqdn additional.fields.dest_fqdn.string_value Valeur de la colonne 7 si le format du journal est SYSLOG, sinon valeur de la colonne 13
dest_geo additional.fields.dest_geo.string_value Valeur de la colonne 14
dest_ip target.asset.ip, target.ip Valeur de column8 si le format de journal est SYSLOG, sinon valeur de column6 s'il existe src_ip, sinon valeur de column6
dest_port target.port Valeur de column10 si le format de journal est SYSLOG, sinon valeur de column8 s'il existe src_ip, sinon valeur de column8
drop_reason security_result.summary Valeur de la colonne 26 si le format de journal est SYSLOG, sinon valeur de la colonne 19
eventId additional.fields.eventId.string_value Valeur capturée dans le modèle grok
flow_id additional.fields.flow_id.string_value Valeur de la colonne 29 si le format du journal est SYSLOG, sinon valeur de la colonne 17
loglevel security_result.severity Si la valeur du champ "loglevel" du modèle Grok est warning, debug ou notice, le niveau de gravité est "MEDIUM". Si la valeur est info ou informational, le niveau de gravité est "INFORMATIONAL". Si la valeur est err ou error, le niveau de gravité est "HIGH". Si la valeur est alert, crit ou emer, le niveau de gravité est "CRITICAL".
packetsReceived network.received_packets Valeur de la colonne 15 si le format du journal est CSV sans src_ip
de diffusion inverse target.application Valeur du champ de processus du modèle grok
protocol_number_src network.ip_protocol Valeur de la colonne 12 si le format de journal est SYSLOG, sinon valeur extraite de la variable ip_protocol_out
route_domain additional.fields.route_domain.string_value Valeur de la colonne 13 si le format du journal est SYSLOG, sinon valeur de la colonne 9
source_fqdn additional.fields.source_fqdn.string_value Valeur de la colonne 5 si le format de journal est SYSLOG, sinon valeur de la colonne 7
src_geo additional.fields.src_geo.string_value Valeur de la colonne 8
src_ip principal.asset.ip, principal.ip Valeur de la colonne 6 si le format du journal est SYSLOG, ou valeur de la colonne 9 si le format du journal est CSV sans src_ip, ou valeur de la colonne 5
src_port principal.port Valeur de la colonne 9 si le format de journal est SYSLOG, sinon valeur de la colonne 7 si le format de journal est CSV sans src_ip, sinon valeur de la colonne 7
ts metadata.event_timestamp Valeur du champ "ts" du modèle grok
vlan additional.fields.vlan.string_value Valeur de la colonne 11 si le format de journal est SYSLOG, sinon valeur de la colonne 21
metadata.event_type Si src_ip et dest_ip existent, alors NETWORK_CONNECTION, sinon si seul src_ip existe, alors STATUS_UPDATE, sinon GENERIC_EVENT
metadata.log_type F5_AFM
metadata.product_name Gestion avancée des pare-feu
metadata.vendor_name F5
partition event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
level event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tty event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
attempts event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
start event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
end event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
prin_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
internal_tag event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
src_zone event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dest_zone event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
translated_dest_ip event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
translated_dest_port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
translated_source_ip event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
translated_source_port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
syslog_reporter_host event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sa_translation_pool event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sa_translation_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
translated_route_domain event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
send_to_vs event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
src_zone event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
dest_zone event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
acl_policy_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
acl_policy_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
chronicle_log_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
chronicle_namespace event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
flow_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vlan event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
route_domain event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
partition_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
source_ipint_categories event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
src_geo event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
source_fqdn event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
dest_ipint_categories event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
dst_geo event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
dest_fqdn event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
acl_rule_name event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
acl_rule_id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
action event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
bigip_mgmt_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
context_name event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
context_type event.idm.read_only_udm.target.resource.type Mappé à partir du journal des modifications
date_time event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
dest_ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
net.peer.ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
dest_port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
net.peer.port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
device_version event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
drop_reason event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
ip_protocol event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
source_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
net.host.ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
source_port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
net.host.port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
errdefs_msg_name event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
errdefs_msgno event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
source_user event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
source_user_group event.idm.read_only_udm.principal.user.group_identifiers Mappé à partir du journal des modifications
severity event.idm.read_only_udm.security_result.severity_details Mappé à partir du journal des modifications
dvchost event.idm.read_only_udm.intermediary.hostname et event.idm.read_only_udm.intermediary.asset.hostname Mappé à partir du journal des modifications
dvc event.idm.read_only_udm.intermediary.ip et event.idm.read_only_udm.intermediary.asset.ip Mappé à partir du journal des modifications
c6a2 event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
F5SrcZone event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
F5SrcFqdn event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
F5SrcUser event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
c6a3 event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
F5DstZone event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
F5DstVlan event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
F5DstFqdn event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
F5SendToVs event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
F5SrcIpiCategories event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
F5DstIpiCategories event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
module event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cpu event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cmd_line event.idm.read_only_udm.target.process.command_line Mappé à partir du journal des modifications
msg_data event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
pid event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
user event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
folder_path event.idm.read_only_udm.principal.file.full_path Mappé à partir du journal des modifications
status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cmd_data event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
target_ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
desc metadata.description Mappé à partir du journal des modifications
prin_port principal.port Mappé à partir du journal des modifications
target_port target.port Mappé à partir du journal des modifications
ts2 metadata.event_timestamp Mappé à partir du journal des modifications
tls_ver network.tls.version Mappé à partir du journal des modifications
cipher network.tls.cipher Mappé à partir du journal des modifications
prod_event_type metadata.product_event_type Mappé à partir du journal des modifications
path target.url Mappé à partir du journal des modifications
response_size network.sent_bytes Mappé à partir du journal des modifications
received_size network.received_bytes Mappé à partir du journal des modifications
usr principal.user.userid Mappé à partir du journal des modifications
schema_version target.resource.attribute.labels Mappé à partir du journal des modifications
severity_info security_result.severity_details Mappé à partir du journal des modifications
target_pid target.process.pid Mappé à partir du journal des modifications
additional1 additional.fields Mappé à partir du journal des modifications
dvc intermediary.hostname Mappé à partir du journal des modifications
metadata.event_type USER_UNCATEGORIZED Mappé à partir du journal des modifications
prin_ip principal.ip Mappé à partir du journal des modifications
F5FlowID additional.fields Mappé à partir du journal des modifications
F5TranslatedVlan additional.fields Mappé à partir du journal des modifications
F5SrcTranslationType additional.fields Mappé à partir du journal des modifications
F5SrcTranslationPool additional.fields Mappé à partir du journal des modifications
F5SrcGeo additional.fields Mappé à partir du journal des modifications
F5DstGeo additional.fields Mappé à partir du journal des modifications
F5RouteDomain additional.fields Mappé à partir du journal des modifications
Column12 security_result.detection_fields Mappé à partir du journal des modifications
Column14 security_result.action Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.