Mengumpulkan log F5 AFM

Parser Version: 23.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log F5 Advanced Firewall Management (AFM) ke Google Security Operations menggunakan agen Bindplane.

F5 BIG-IP AFM adalah modul firewall jaringan yang menghasilkan pesan syslog untuk tindakan aturan firewall (terima, hapus, tolak), peristiwa kecerdasan IP, dan error TCP. Parser mengekstrak kolom dari log berformat CSV atau syslog dan memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan perangkat F5 BIG-IP
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke F5 BIG-IP dan F5 Advanced Firewall Management

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:5145"
  
  exporters:
    chronicle/f5_afm:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: F5_AFM
      raw_log_field: body
  
  service:
    pipelines:
      logs/f5_afm_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/f5_afm
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 5145 digunakan untuk logging kecepatan tinggi F5 AFM (sesuaikan dengan konfigurasi F5 Anda)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/f5_afm:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: F5_AFM
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengaktifkan F5 BIG-IP Advanced Firewall Manager

1. Login ke konsol pengelolaan BIG-IP appliance.
2. Buka Sistem > Lisensi.
3. Pastikan Advanced Firewall Manager telah mendapatkan lisensi dan diaktifkan.
4. Untuk mengaktifkan Advanced Firewall Manager, buka System > Resource > Provisioning.
5. Centang kotak di kolom Penyediaan, lalu pilih Nominal dari daftar.
6. Klik Kirim.

Mengonfigurasi Logging Pool di F5 AFM

1. Buka Local Traffic > Pools.
2. Klik Create.
3. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama untuk logging pool (misalnya, logging_pool).
   • Health Monitor: Di daftar Available, pilih TCP, lalu klik <<.
4. Di tab Resource, pilih Logging Pool yang Anda buat sebelumnya dari daftar Node Name.
5. Di kolom Address, masukkan alamat IP agen Bindplane.
6. Di kolom Service Port, masukkan 5145 atau port lain seperti yang Anda tentukan di agen Bindplane.
7. Klik Tambahkan.
8. Klik Selesai.

Mengonfigurasi tujuan log yang diformat di F5 AFM

1. Buka System > Logs > Configuration > Log Destinations.
2. Klik Create.
3. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama untuk tujuan format logging (misalnya, Logging_Format_Destination).
   • Deskripsi: Masukkan deskripsi.
   • Type: Pilih Remote Syslog.
   • Syslog Format: Pilih Syslog.
   • High-Speed Log Destination: Pilih tujuan logging berkecepatan tinggi (misalnya, Logging_HSL_Destination).
4. Klik Selesai.

Mengonfigurasi Log Publisher di F5 AFM

1. Buka System > Logs > Configuration > Log Publishers.
2. Klik Create.
3. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama untuk penayang (misalnya, Log_Publisher).
   • Deskripsi: Masukkan deskripsi.
   • Tujuan: Pilih nama tujuan log yang Anda buat di langkah Konfigurasi Kumpulan Logging di F5 AFM, lalu klik << untuk menambahkan item ke daftar Terpilih.

Mengonfigurasi Profil Logging di F5 AFM

1. Buka Security > Event Logs > Logging Profile.
2. Klik Create.
3. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama untuk profil log (misalnya, Logging_Profile).
   • Network Firewall: Centang kotak Enabled.
   • Publisher: Pilih log publisher yang Anda konfigurasi sebelumnya (misalnya, Log_Publisher).
   • Log Rule Matches: Centang kotak Accept, Drop, and Reject.
   • Log IP Errors: Centang kotak Enabled.
   • Log TCP Errors: Centang kotak Enabled.
   • Log TCP Events: Centang kotak Enabled.
   • Storage Format: Pilih Field-List.
   • Pembatas: Masukkan , (koma) sebagai pembatas untuk peristiwa.
   • Opsi Penyimpanan: Pilih semua opsi dalam daftar Item yang Tersedia, lalu klik <<.
   • Di tab IP Intelligence, pilih penerbit log yang Anda konfigurasi (misalnya, Log_Publisher).
4. Klik Selesai.

Mengonfigurasi Pengaitan Profil Server Virtual di F5 AFM

1. Buka Local Traffic > Virtual Servers.
2. Pilih server virtual yang akan diubah.
3. Buka tab Security > Policies.
4. Dari daftar Log Profile, pilih Enabled.
5. Dari kolom Profile, pilih Logging_Profile, lalu klik <<.
6. Klik Update.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
acl_policy_name	security_result.detection_fields.acl_policy_name	Nilai column22 jika format log adalah SYSLOG, jika tidak, nilai column13
acl_policy_type	security_result.detection_fields.acl_policy_type	Nilai column21 jika format log adalah SYSLOG, atau nilai column18
acl_rule_name	security_result.rule_name	Nilai column23 jika format log adalah SYSLOG, atau nilai column11
acl_rule_uuid	security_result.rule_id	Nilai kolom acl_rule_uuid dari pola grok
tindakan	security_result.action	Jika nilai kolom25 adalah Drop, Reject, atau Block, maka BLOKIR, jika nilai kolom25 adalah Accept, Accept decisively, Established, atau Allow, maka IZINKAN
attackID	security_result.detection_fields.attackID	Nilai column12 jika format log adalah CSV tanpa src_ip
bigip_hostname	intermediary.hostname	Nilai column2 jika format log adalah SYSLOG, atau nilai column3
bigip_ip	intermediary.ip	Nilai kolom2 jika format log adalah SYSLOG, jika tidak, nilai kolom1
context_name	additional.fields.context_name.string_value	Nilai column4 jika format log adalah SYSLOG, atau nilai column10 jika ada src_ip, atau nilai column5
context_type	additional.fields.context_type.string_value	Nilai column3 jika format log adalah SYSLOG, jika tidak, nilai column4 jika ada src_ip, jika tidak, nilai column4
dest_fqdn	additional.fields.dest_fqdn.string_value	Nilai column7 jika format log adalah SYSLOG, jika tidak, nilai column13
dest_geo	additional.fields.dest_geo.string_value	Nilai kolom14
dest_ip	target.asset.ip, target.ip	Nilai column8 jika format log adalah SYSLOG, atau nilai column6 jika ada src_ip, atau nilai column6
dest_port	target.port	Nilai column10 jika format log adalah SYSLOG, atau nilai column8 jika ada src_ip, atau nilai column8
drop_reason	security_result.summary	Nilai column26 jika format log adalah SYSLOG, atau nilai column19
eventId	additional.fields.eventId.string_value	Nilai yang diambil dalam pola grok
flow_id	additional.fields.flow_id.string_value	Nilai column29 jika format log adalah SYSLOG, jika tidak, nilai column17
loglevel	security_result.severity	Jika nilai kolom loglevel dari pola grok adalah warning,debug, atau notice, maka MEDIUM, jika nilai adalah info atau informational, maka INFORMATIONAL, jika nilai adalah err atau error, maka HIGH, jika nilai adalah alert, crit, atau emer, maka CRITICAL
packetsReceived	network.received_packets	Nilai kolom15 jika format log adalah CSV tanpa src_ip
mundur	target.application	Nilai kolom proses dari pola grok
protocol_number_src	network.ip_protocol	Nilai column12 jika format log adalah SYSLOG, jika tidak, nilai yang diekstrak dari variabel ip_protocol_out
route_domain	additional.fields.route_domain.string_value	Nilai column13 jika format log adalah SYSLOG, jika tidak, nilai column9
source_fqdn	additional.fields.source_fqdn.string_value	Nilai column5 jika format log adalah SYSLOG, atau nilai column7
src_geo	additional.fields.src_geo.string_value	Nilai kolom8
src_ip	principal.asset.ip, principal.ip	Nilai column6 jika format log adalah SYSLOG, atau nilai column9 jika format log adalah CSV tanpa src_ip, atau nilai column5
src_port	principal.port	Nilai column9 jika format log adalah SYSLOG, atau nilai column7 jika format log adalah CSV tanpa src_ip, atau nilai column7
ts	metadata.event_timestamp	Nilai kolom ts dari pola grok
vlan	additional.fields.vlan.string_value	Nilai column11 jika format log adalah SYSLOG, jika tidak, nilai column21
	metadata.event_type	Jika src_ip dan dest_ip ada, maka NETWORK_CONNECTION, jika hanya src_ip yang ada, maka STATUS_UPDATE, jika tidak ada, maka GENERIC_EVENT
	metadata.log_type	F5_AFM
	metadata.product_name	Pengelolaan Firewall Lanjutan
	metadata.vendor_name	F5
partition	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
level	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
tty	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
attempts	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
start	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
end	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
prin_ip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
internal_tag	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
src_zone	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
dest_zone	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
translated_dest_ip	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
translated_dest_port	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
translated_source_ip	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
translated_source_port	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
syslog_reporter_host	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
sa_translation_pool	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
sa_translation_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
translated_route_domain	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
send_to_vs	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
src_zone	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
dest_zone	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
acl_policy_name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
acl_policy_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
chronicle_log_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
chronicle_namespace	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
flow_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
vlan	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
route_domain	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
partition_name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
source_ipint_categories	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
src_geo	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
source_fqdn	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
dest_ipint_categories	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
dst_geo	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
dest_fqdn	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
acl_rule_name	event.idm.read_only_udm.security_result.rule_name	Dipetakan dari log perubahan
acl_rule_id	event.idm.read_only_udm.security_result.rule_id	Dipetakan dari log perubahan
action	event.idm.read_only_udm.security_result.action	Dipetakan dari log perubahan
bigip_mgmt_ip	event.idm.read_only_udm.intermediary.ip	Dipetakan dari log perubahan
context_name	event.idm.read_only_udm.target.resource.name	Dipetakan dari log perubahan
context_type	event.idm.read_only_udm.target.resource.type	Dipetakan dari log perubahan
date_time	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
dest_ip	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
net.peer.ip	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
dest_port	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
net.peer.port	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
device_version	event.idm.read_only_udm.metadata.product_version	Dipetakan dari log perubahan
drop_reason	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
hostname	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
ip_protocol	event.idm.read_only_udm.network.ip_protocol	Dipetakan dari log perubahan
source_ip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
net.host.ip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
source_port	event.idm.read_only_udm.principal.port	Dipetakan dari log perubahan
net.host.port	event.idm.read_only_udm.principal.port	Dipetakan dari log perubahan
errdefs_msg_name	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
errdefs_msgno	event.idm.read_only_udm.metadata.product_log_id	Dipetakan dari log perubahan
source_user	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
source_user_group	event.idm.read_only_udm.principal.user.group_identifiers	Dipetakan dari log perubahan
severity	event.idm.read_only_udm.security_result.severity_details	Dipetakan dari log perubahan
dvchost	event.idm.read_only_udm.intermediary.hostname dan event.idm.read_only_udm.intermediary.asset.hostname	Dipetakan dari log perubahan
dvc	event.idm.read_only_udm.intermediary.ip dan event.idm.read_only_udm.intermediary.asset.ip	Dipetakan dari log perubahan
c6a2	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
F5SrcZone	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
F5SrcFqdn	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
F5SrcUser	event.idm.read_only_udm.principal.user.attribute.labels	Dipetakan dari log perubahan
c6a3	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
F5DstZone	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
F5DstVlan	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
F5DstFqdn	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
F5SendToVs	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
F5SrcIpiCategories	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
F5DstIpiCategories	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
module	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
tid	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cpu	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cmd_line	event.idm.read_only_udm.target.process.command_line	Dipetakan dari log perubahan
msg_data	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
pid	event.idm.read_only_udm.principal.process.pid	Dipetakan dari log perubahan
user	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
folder_path	event.idm.read_only_udm.principal.file.full_path	Dipetakan dari log perubahan
status	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cmd_data	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
target_ip	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
desc	metadata.description	Dipetakan dari log perubahan
prin_port	principal.port	Dipetakan dari log perubahan
target_port	target.port	Dipetakan dari log perubahan
ts2	metadata.event_timestamp	Dipetakan dari log perubahan
tls_ver	network.tls.version	Dipetakan dari log perubahan
cipher	network.tls.cipher	Dipetakan dari log perubahan
prod_event_type	metadata.product_event_type	Dipetakan dari log perubahan
path	target.url	Dipetakan dari log perubahan
response_size	network.sent_bytes	Dipetakan dari log perubahan
received_size	network.received_bytes	Dipetakan dari log perubahan
usr	principal.user.userid	Dipetakan dari log perubahan
schema_version	target.resource.attribute.labels	Dipetakan dari log perubahan
severity_info	security_result.severity_details	Dipetakan dari log perubahan
target_pid	target.process.pid	Dipetakan dari log perubahan
additional1	additional.fields	Dipetakan dari log perubahan
dvc	intermediary.hostname	Dipetakan dari log perubahan
metadata.event_type	USER_UNCATEGORIZED	Dipetakan dari log perubahan
prin_ip	principal.ip	Dipetakan dari log perubahan
F5FlowID	additional.fields	Dipetakan dari log perubahan
F5TranslatedVlan	additional.fields	Dipetakan dari log perubahan
F5SrcTranslationType	additional.fields	Dipetakan dari log perubahan
F5SrcTranslationPool	additional.fields	Dipetakan dari log perubahan
F5SrcGeo	additional.fields	Dipetakan dari log perubahan
F5DstGeo	additional.fields	Dipetakan dari log perubahan
F5RouteDomain	additional.fields	Dipetakan dari log perubahan
Column12	security_result.detection_fields	Dipetakan dari log perubahan
Column14	security_result.action	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.