איסוף יומני F5 AFM

גרסת המנתח: 23.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של F5 Advanced Firewall Management ‏ (AFM) ב-Google Security Operations באמצעות סוכן Bindplane.

‫F5 BIG-IP AFM הוא מודול של חומת אש ברשת שיוצר הודעות syslog לפעולות של כללי חומת אש (קבלה, השמטה, דחייה), לאירועים של מודיעין IP ולשגיאות TCP. המנתח מחלץ שדות מיומנים בפורמט CSV או בפורמט syslog וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מכשיר F5 BIG-IP
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• Privileged access to F5 BIG-IP and F5 Advanced Firewall Management

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:5145"
  
  exporters:
    chronicle/f5_afm:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: F5_AFM
      raw_log_field: body
  
  service:
    pipelines:
      logs/f5_afm_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/f5_afm
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 5145 משמשת לרישום מהיר ביומן של F5 AFM (צריך להתאים אותה להגדרות של F5)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/f5_afm:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: F5_AFM
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הפעלת F5 BIG-IP Advanced Firewall Manager

1. נכנסים למסוף הניהול של מכשיר BIG-IP.
2. עוברים אל מערכת > רישיון.
3. מוודאים ש-Advanced Firewall Manager מופעל ושיש לו רישיון.
4. כדי להפעיל את Advanced Firewall Manager, עוברים אל System > Resource > Provisioning.
5. מסמנים את התיבה בעמודה Provisioning ובוחרים באפשרות Nominal מהרשימה.
6. לוחצים על שליחה.

הגדרת מאגר רישום ביומן ב-F5 AFM

1. עוברים אל Local Traffic > Pools (תנועה מקומית > מאגרי כתובות).
2. לוחצים על יצירה.
3. מספקים את פרטי ההגדרה הבאים:
   • Name: נותנים שם למאגר הרישום ביומן (לדוגמה, logging_pool).
   • Health Monitor: ברשימה Available, בוחרים באפשרות TCP ולוחצים על <<.
4. בכרטיסייה Resource, בוחרים את Logging Pool שיצרתם קודם מהרשימה Node Name.
5. בשדה כתובת, מזינים את כתובת ה-IP של סוכן Bindplane.
6. בשדה Service Port (יציאת שירות), מזינים 5145 או יציאה אחרת שהגדרתם בסוכן Bindplane.
7. לוחצים על הוספה.
8. לוחצים על סיום.

הגדרת יעד ליומן בפורמט ב-F5 AFM

1. עוברים אל System > Logs > Configuration > Log Destinations.
2. לוחצים על יצירה.
3. מזינים את פרטי ההגדרה הבאים:
   • שם: מזינים שם ליעד של פורמט הרישום ביומן (לדוגמה, Logging_Format_Destination).
   • תיאור: מזינים תיאור.
   • סוג: בוחרים באפשרות Syslog מרוחק.
   • Syslog Format: בוחרים באפשרות Syslog.
   • יעד לרישום מהיר ביומן: בוחרים את היעד לרישום מהיר ביומן (לדוגמה, Logging_HSL_Destination).
4. לוחצים על סיום.

הגדרת Log Publisher ב-F5 AFM

1. עוברים אל System > Logs > Configuration > Log Publishers.
2. לוחצים על יצירה.
3. מזינים את פרטי ההגדרה הבאים:
   • שם: מזינים שם לבעל התוכן הדיגיטלי (לדוגמה, Log_Publisher).
   • תיאור: מזינים תיאור.
   • יעדים: בוחרים את שם יעד היומן שיצרתם בשלב הגדרת מאגר רישום ב-F5 AFM ולוחצים על << כדי להוסיף פריטים לרשימה נבחרו.

הגדרת פרופיל רישום ביומן ב-F5 AFM

1. עוברים אל Security > Event Logs > Logging Profile.
2. לוחצים על יצירה.
3. מזינים את פרטי ההגדרה הבאים:
   • Name: מזינים שם לפרופיל היומן (לדוגמה, Logging_Profile).
   • חומת אש של הרשת: מסמנים את תיבת הסימון מופעל.
   • המוציא לאור: בוחרים את המוציא לאור של היומן שהגדרתם קודם (לדוגמה, Log_Publisher).
   • Log Rule Matches: מסמנים את התיבות Accept, Drop, and Reject.
   • Log IP Errors: מסמנים את תיבת הסימון Enabled.
   • רישום שגיאות TCP ביומן: מסמנים את התיבה מופעל.
   • תיעוד אירועי TCP: מסמנים את התיבה מופעל.
   • פורמט אחסון: בוחרים באפשרות רשימת שדות.
   • תו מפריד: מזינים , (פסיק) כתו המפריד בין אירועים.
   • אפשרויות אחסון: בוחרים את כל האפשרויות ברשימה פריטים זמינים ולוחצים על <<.
   • בכרטיסייה IP Intelligence, בוחרים את מפרסם היומנים שהגדרתם (לדוגמה, Log_Publisher).
4. לוחצים על סיום.

הגדרת שיוך של פרופיל שרת וירטואלי ב-F5 AFM

1. עוברים אל Local Traffic > Virtual Servers (תעבורה מקומית > שרתים וירטואליים).
2. בוחרים את השרת הווירטואלי שרוצים לשנות.
3. עוברים אל הכרטיסייה 'אבטחה' > מדיניות.
4. ברשימה Log Profile, בוחרים באפשרות Enabled.
5. בשדה פרופיל, בוחרים באפשרות Logging_Profile ולוחצים על <<.
6. לוחצים על עדכון.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
acl_policy_name	security_result.detection_fields.acl_policy_name	הערך של column22 אם פורמט היומן הוא SYSLOG, אחרת הערך של column13
acl_policy_type	security_result.detection_fields.acl_policy_type	הערך של עמודה 21 אם פורמט היומן הוא SYSLOG, אחרת הערך של עמודה 18
acl_rule_name	security_result.rule_name	הערך של column23 אם פורמט היומן הוא SYSLOG, אחרת הערך של column11
acl_rule_uuid	security_result.rule_id	הערך של השדה acl_rule_uuid מתבנית Grok
פעולה	security_result.action	אם הערך של column25 הוא Drop,‏ Reject או Block, אז BLOCK, אחרת אם הערך של column25 הוא Accept,‏ Accept decisively,‏ Established או Allow, אז ALLOW
attackID	security_result.detection_fields.attackID	הערך של column12 אם פורמט היומן הוא CSV ללא src_ip
bigip_hostname	intermediary.hostname	הערך של column2 אם פורמט היומן הוא SYSLOG, אחרת הערך של column3
bigip_ip	intermediary.ip	הערך של column2 אם פורמט היומן הוא SYSLOG, אחרת הערך של column1
context_name	additional.fields.context_name.string_value	הערך של column4 אם פורמט היומן הוא SYSLOG, אחרת הערך של column10 אם יש src_ip, אחרת הערך של column5
context_type	additional.fields.context_type.string_value	הערך של column3 אם פורמט היומן הוא SYSLOG, אחרת הערך של column4 אם יש src_ip, אחרת הערך של column4
dest_fqdn	additional.fields.dest_fqdn.string_value	הערך של column7 אם פורמט היומן הוא SYSLOG, אחרת הערך של column13
dest_geo	additional.fields.dest_geo.string_value	הערך של עמודה 14
dest_ip	target.asset.ip, target.ip	הערך של column8 אם פורמט היומן הוא SYSLOG, אחרת הערך של column6 אם יש src_ip, אחרת הערך של column6
dest_port	target.port	הערך של column10 אם פורמט היומן הוא SYSLOG, אחרת הערך של column8 אם יש src_ip, אחרת הערך של column8
drop_reason	security_result.summary	הערך של column26 אם פורמט היומן הוא SYSLOG, אחרת הערך של column19
eventId	additional.fields.eventId.string_value	הערך שנקלט בתבנית ה-grok
flow_id	additional.fields.flow_id.string_value	הערך של column29 אם פורמט היומן הוא SYSLOG, אחרת הערך של column17
loglevel	security_result.severity	אם הערך של השדה loglevel מתבנית ה-grok הוא warning,‏debug או notice, אז MEDIUM. אחרת, אם הערך הוא info או informational, אז INFORMATIONAL. אחרת, אם הערך הוא err או error, אז HIGH. אחרת, אם הערך הוא alert,‏ crit או emer, אז CRITICAL.
packetsReceived	network.received_packets	הערך של column15 אם פורמט היומן הוא CSV ללא src_ip
תהליך דיפוזיה הפוך	target.application	הערך של שדה התהליך מתבנית ה-grok
protocol_number_src	network.ip_protocol	הערך של column12 אם פורמט היומן הוא SYSLOG, אחרת הערך שחולץ מהמשתנה ip_protocol_out
route_domain	additional.fields.route_domain.string_value	הערך של column13 אם פורמט היומן הוא SYSLOG, אחרת הערך של column9
source_fqdn	additional.fields.source_fqdn.string_value	הערך של column5 אם פורמט היומן הוא SYSLOG, אחרת הערך של column7
src_geo	additional.fields.src_geo.string_value	הערך של עמודה 8
src_ip	principal.asset.ip, principal.ip	הערך של column6 אם פורמט היומן הוא SYSLOG, אחרת הערך של column9 אם פורמט היומן הוא CSV ללא src_ip, אחרת הערך של column5
src_port	principal.port	הערך של column9 אם פורמט היומן הוא SYSLOG, אחרת הערך של column7 אם פורמט היומן הוא CSV בלי src_ip, אחרת הערך של column7
ts	metadata.event_timestamp	הערך של השדה ts מתבנית ה-grok
VLAN	additional.fields.vlan.string_value	הערך של column11 אם פורמט היומן הוא SYSLOG, אחרת הערך של column21
	metadata.event_type	אם src_ip ו-dest_ip קיימים, אז NETWORK_CONNECTION, אחרת אם קיים רק src_ip, אז STATUS_UPDATE, אחרת GENERIC_EVENT
	metadata.log_type	F5_AFM
	metadata.product_name	ניהול מתקדם של חומת האש
	metadata.vendor_name	F5
partition	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
level	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tty	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
attempts	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
start	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
end	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
prin_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
internal_tag	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
src_zone	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dest_zone	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
translated_dest_ip	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
translated_dest_port	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
translated_source_ip	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
translated_source_port	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
syslog_reporter_host	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sa_translation_pool	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sa_translation_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
translated_route_domain	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
send_to_vs	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
src_zone	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
dest_zone	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
acl_policy_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
acl_policy_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
chronicle_log_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
chronicle_namespace	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
flow_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vlan	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
route_domain	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
partition_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
source_ipint_categories	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
src_geo	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
source_fqdn	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
dest_ipint_categories	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
dst_geo	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
dest_fqdn	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
acl_rule_name	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
acl_rule_id	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
action	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
bigip_mgmt_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
context_name	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
context_type	event.idm.read_only_udm.target.resource.type	מופה מיומן השינויים
date_time	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
dest_ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
net.peer.ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
dest_port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
net.peer.port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
device_version	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
drop_reason	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
hostname	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
ip_protocol	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
source_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
net.host.ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
source_port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
net.host.port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
errdefs_msg_name	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
errdefs_msgno	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
source_user	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
source_user_group	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
dvchost	event.idm.read_only_udm.intermediary.hostname וגם event.idm.read_only_udm.intermediary.asset.hostname	מופה מיומן השינויים
dvc	event.idm.read_only_udm.intermediary.ip וגם event.idm.read_only_udm.intermediary.asset.ip	מופה מיומן השינויים
c6a2	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
F5SrcZone	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
F5SrcFqdn	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
F5SrcUser	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
c6a3	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
F5DstZone	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
F5DstVlan	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
F5DstFqdn	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
F5SendToVs	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
F5SrcIpiCategories	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
F5DstIpiCategories	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
module	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cpu	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cmd_line	event.idm.read_only_udm.target.process.command_line	מופה מיומן השינויים
msg_data	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
pid	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
user	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
folder_path	event.idm.read_only_udm.principal.file.full_path	מופה מיומן השינויים
status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cmd_data	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
target_ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
desc	metadata.description	מופה מיומן השינויים
prin_port	principal.port	מופה מיומן השינויים
target_port	target.port	מופה מיומן השינויים
ts2	metadata.event_timestamp	מופה מיומן השינויים
tls_ver	network.tls.version	מופה מיומן השינויים
cipher	network.tls.cipher	מופה מיומן השינויים
prod_event_type	metadata.product_event_type	מופה מיומן השינויים
path	target.url	מופה מיומן השינויים
response_size	network.sent_bytes	מופה מיומן השינויים
received_size	network.received_bytes	מופה מיומן השינויים
usr	principal.user.userid	מופה מיומן השינויים
schema_version	target.resource.attribute.labels	מופה מיומן השינויים
severity_info	security_result.severity_details	מופה מיומן השינויים
target_pid	target.process.pid	מופה מיומן השינויים
additional1	additional.fields	מופה מיומן השינויים
dvc	intermediary.hostname	מופה מיומן השינויים
metadata.event_type	USER_UNCATEGORIZED	מופה מיומן השינויים
prin_ip	principal.ip	מופה מיומן השינויים
F5FlowID	additional.fields	מופה מיומן השינויים
F5TranslatedVlan	additional.fields	מופה מיומן השינויים
F5SrcTranslationType	additional.fields	מופה מיומן השינויים
F5SrcTranslationPool	additional.fields	מופה מיומן השינויים
F5SrcGeo	additional.fields	מופה מיומן השינויים
F5DstGeo	additional.fields	מופה מיומן השינויים
F5RouteDomain	additional.fields	מופה מיומן השינויים
Column12	security_result.detection_fields	מופה מיומן השינויים
Column14	security_result.action	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.