F5 AFM のログを収集する
パーサーのバージョン: 23.0
以下でサポートされています。
Google SecOps
SIEM
このドキュメントでは、Bindplane エージェントを使用して F5 Advanced Firewall Management（AFM）ログを Google Security Operations に取り込む方法について説明します。
F5 BIG-IP AFM は、ファイアウォール ルールのアクション（accept、drop、reject）、IP インテリジェンス イベント、TCP エラーの syslog メッセージを生成するネットワーク ファイアウォール モジュールです。パーサーは、CSV 形式または syslog 形式のログからフィールドを抽出し、Unified Data Model（UDM）にマッピングします。
始める前に
次の前提条件を満たしていることを確認してください。
- Google SecOps インスタンス
- Windows Server 2016 以降、または
systemdを使用する Linux ホスト - Bindplane エージェントと F5 BIG-IP アプライアンス間のネットワーク接続
- プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
- F5 BIG-IP と F5 Advanced Firewall Management への特権アクセス
Bindplane エージェントの Google SecOps 認証情報を取得する
Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。
- 新規デプロイ: Chronicle API を使用します（オプション 1）。
- 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
オプション 1: Chronicle API のサービス アカウントを作成する（推奨）
- Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
- [IAM と管理> サービス アカウント] に移動します。
- [サービス アカウントを作成] をクリックします。
- 次の構成情報を指定します。
- サービス アカウント名: アカウントの名前を入力します（例:
bindplane-ingest）。 - サービス アカウントの説明: 説明を入力します（例:
Bindplane agent log ingestion）。
- サービス アカウント名: アカウントの名前を入力します（例:
- [作成して続行] をクリックします。
- [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
- [続行] をクリックして [完了] をクリックします。
- 作成したサービス アカウントをクリックし、[キー] タブに移動します。
- [鍵を追加] > [新しい鍵を作成] の順にクリックします。
- [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
- 鍵ファイルを
ingestion-auth.jsonとして Bindplane コレクタ ディレクトリ（Linux の場合は/opt/observiq-otel-collector/ingestion-auth.json、Windows の場合はC:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yamlのcreds_file_pathを更新して、保存先のパスと一致させます。 - [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。
オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）
- Google SecOps コンソールにログインします。
- [SIEM 設定] > [収集エージェント] に移動します。
- 取り込み認証ファイルをダウンロードします。
- Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。
Google SecOps のお客様 ID を取得する
- Google SecOps コンソールにログインします。
- [SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。
Bindplane エージェントをインストールする
次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。
Windows へのインストール
- 管理者として コマンド プロンプトまたは PowerShell を開きます。
次のコマンドを実行します。
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quietインストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
sc query observiq-otel-collectorサービスが RUNNING と表示されます。
Linux へのインストール
- root 権限または sudo 権限でターミナルを開きます。
次のコマンドを実行します。
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.shインストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
sudo systemctl status observiq-otel-collectorサービスが active (running) と表示されます。
その他のインストール リソース
その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。
Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する
構成ファイルを探します。
Linux:
sudo nano /opt/observiq-otel-collector/config.yamlWindows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
構成ファイルを編集します。
config.yamlの内容全体を次の構成に置き換えます。receivers: tcplog: listen_address: "0.0.0.0:5145" exporters: chronicle/f5_afm: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: F5_AFM raw_log_field: body service: pipelines: logs/f5_afm_to_chronicle: receivers: - tcplog exporters: - chronicle/f5_afm
構成パラメータ
各プレースホルダを次のように置き換えます。
レシーバーの構成:
listen_address: リッスンする IP アドレスとポート。0.0.0.0: すべてのインターフェースでリッスンします（推奨）。- ポート
5145は、F5 AFM の高速ロギングに使用されます（F5 の構成に合わせて調整してください）。
エクスポータの構成:
creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:- Linux:
/opt/observiq-otel-collector/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
customer_id: Google SecOps コンソールからコピーしたお客様 IDlocation:<LOCATION>を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1など）に置き換えます。エクスポートでは、この値がchronicle.googleapis.comの前に付加されます。完全なリストについては、リージョン エンドポイントをご覧ください。project:<PROJECT_NUMBER>を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。endpoint:chronicle.googleapis.comに設定したままにします。
以前の Ingestion API エクスポータ
オプション 2 の取り込み認証ファイルを使用する場合は、
exportersブロックを次のように置き換えます。creds_file_pathを取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.comをリージョン エンドポイント（europe-malachiteingestion-pa.googleapis.comなど）に置き換えます。exporters: chronicle/f5_afm: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: F5_AFM raw_log_field: body
構成ファイルを保存する
- 編集後、ファイルを保存します。
- Linux:
Ctrl+O、Enter、Ctrl+Xの順に押します。 - Windows: [ファイル> 保存] をクリックします。
- Linux:
Bindplane エージェントを再起動して変更を適用する
Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
sudo systemctl restart observiq-otel-collectorサービスが実行されていることを確認します。
sudo systemctl status observiq-otel-collectorログでエラーを確認します。
sudo journalctl -u observiq-otel-collector -f
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
管理者としてコマンド プロンプトまたは PowerShell を開きます。
net stop observiq-otel-collector && net start observiq-otel-collectorサービス コンソール:
Win+Rキーを押し、「services.msc」と入力して Enter キーを押します。- observIQ OpenTelemetry Collector を見つけます。
- 右クリックして [再起動] を選択します。
サービスが実行されていることを確認します。
sc query observiq-otel-collectorログでエラーを確認します。
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
F5 BIG-IP Advanced Firewall Manager を有効にする
- BIG-IP アプライアンスの管理コンソールにログインします。
- [システム] > [ライセンス] に移動します。
- Advanced Firewall Manager のライセンスが取得され、有効になっていることを確認します。
- Advanced Firewall Manager を有効にするには、[System] > [Resource] > [Provisioning] に移動します。
- [プロビジョニング列] のチェックボックスをオンにして、リストから [名目] を選択します。
- [送信] をクリックします。
F5 AFM でロギング プールを構成する
- [Local Traffic] > [Pools] に移動します。
- [作成] をクリックします。
- 次の構成情報を指定します。
- 名前: ロギングプールの名前を入力します（例: logging_pool）。
- ヘルスモニター: [使用可能] リストで [TCP] を選択し、[<<] をクリックします。
- [リソース] タブで、[ノード名] リストから、先ほど作成したロギングプールを選択します。
- [アドレス] フィールドに、Bindplane エージェントの IP アドレスを入力します。
- [サービスポート] フィールドに、Bindplane エージェントで定義した
5145またはその他のポートを入力します。 - [追加] をクリックします。
- [完了] をクリックします。
F5 AFM でフォーマットされたログの宛先を構成する
- [System] > [Logs] > [Configuration] > [Log Destinations] に移動します。
- [作成] をクリックします。
- 次の構成情報を指定します。
- 名前: ロギング形式の宛先の名前を入力します（例:
Logging_Format_Destination）。 - 説明: 説明を入力します。
- Type: [Remote Syslog] を選択します。
- Syslog 形式: [Syslog] を選択します。
- 高速ログの宛先: 高速ロギングの宛先を選択します（例:
Logging_HSL_Destination）。
- 名前: ロギング形式の宛先の名前を入力します（例:
- [Finished] をクリックします。
F5 AFM でログ パブリッシャーを構成する
- [System] > [Logs] > [Configuration] > [Log Publishers] に移動します。
- [作成] をクリックします。
- 次の構成情報を指定します。
- 名前: パブリッシャーの名前を入力します（例:
Log_Publisher）。 - 説明: 説明を入力します。
- 送信先: F5 AFM でロギング プールを構成するの手順で作成したログの送信先名を選択し、[<<] をクリックして、[選択済み] リストに項目を追加します。
- 名前: パブリッシャーの名前を入力します（例:
F5 AFM でロギング プロファイルを構成する
- [セキュリティ] > [イベントログ] > [ロギング プロファイル] に移動します。
- [作成] をクリックします。
- 次の構成情報を指定します。
- 名前: ログ プロファイルの名前を入力します（例: Logging_Profile）。
- [ネットワーク ファイアウォール]: [有効] チェックボックスをオンにします。
- パブリッシャー: 先ほど構成したログパブリッシャー（
Log_Publisherなど）を選択します。 - ログルールの照合: [許可、ドロップ、拒否] チェックボックスをオンにします。
- Log IP Errors: [Enabled] チェックボックスをオンにします。
- TCP エラーをログに記録する: [有効] チェックボックスをオンにします。
- Log TCP Events: [Enabled] チェックボックスをオンにします。
- ストレージ形式: [フィールド リスト] を選択します。
- 区切り文字: イベントの区切り文字として
,（カンマ）を入力します。 - ストレージ オプション: [使用可能なアイテム] リストのすべてのオプションを選択し、[<<] をクリックします。
- [IP Intelligence] タブで、構成したログ パブリッシャー（例:
Log_Publisher）を選択します。
- [Finished] をクリックします。
F5 AFM で仮想サーバー プロファイルの関連付けを構成する
- [Local Traffic] > [Virtual Servers] に移動します。
- 変更する仮想サーバーを選択します。
- [セキュリティ] タブ > [ポリシー] に移動します。
- [ログ プロファイル] リストから [有効] を選択します。
- [Profile] フィールドで [Logging_Profile] を選択し、[<<] をクリックします。
- [更新] をクリックします。
UDM マッピング テーブル
| ログフィールド | UDM マッピング | ロジック |
|---|---|---|
| acl_policy_name | security_result.detection_fields.acl_policy_name | ログ形式が SYSLOG の場合は column22 の値、それ以外の場合は column13 の値 |
| acl_policy_type | security_result.detection_fields.acl_policy_type | ログ形式が SYSLOG の場合は column21 の値、それ以外の場合は column18 の値 |
| acl_rule_name | security_result.rule_name | ログ形式が SYSLOG の場合は column23 の値、それ以外の場合は column11 の値 |
| acl_rule_uuid | security_result.rule_id | Grok パターンの acl_rule_uuid フィールドの値 |
| アクション | security_result.action | column25 の値が Drop、Reject、Block のいずれかの場合、BLOCK。column25 の値が Accept、Accept decisively、Established、Allow のいずれかの場合、ALLOW |
| attackID | security_result.detection_fields.attackID | ログ形式が CSV で src_ip がない場合の column12 の値 |
| bigip_hostname | intermediary.hostname | ログ形式が SYSLOG の場合は column2 の値、それ以外の場合は column3 の値 |
| bigip_ip | intermediary.ip | ログ形式が SYSLOG の場合は column2 の値、それ以外の場合は column1 の値 |
| context_name | additional.fields.context_name.string_value | ログ形式が SYSLOG の場合は column4 の値、src_ip がある場合は column10 の値、それ以外の場合は column5 の値 |
| context_type | additional.fields.context_type.string_value | ログ形式が SYSLOG の場合は column3 の値、src_ip がある場合は column4 の値、それ以外の場合は column4 の値 |
| dest_fqdn | additional.fields.dest_fqdn.string_value | ログ形式が SYSLOG の場合は column7 の値、それ以外の場合は column13 の値 |
| dest_geo | additional.fields.dest_geo.string_value | column14 の値 |
| dest_ip | target.asset.ip、target.ip | ログ形式が SYSLOG の場合は column8 の値、src_ip がある場合は column6 の値、それ以外の場合は column6 の値 |
| dest_port | target.port | ログ形式が SYSLOG の場合は column10 の値、src_ip がある場合は column8 の値、それ以外の場合は column8 の値 |
| drop_reason | security_result.summary | ログ形式が SYSLOG の場合は column26 の値、それ以外の場合は column19 の値 |
| eventId | additional.fields.eventId.string_value | grok パターンでキャプチャされた値 |
| flow_id | additional.fields.flow_id.string_value | ログ形式が SYSLOG の場合は column29 の値、それ以外の場合は column17 の値 |
| loglevel | security_result.severity | grok パターンの loglevel フィールドの値が warning、debug、notice のいずれかの場合、MEDIUM。値が info または informational の場合、INFORMATIONAL。値が err または error の場合、HIGH。値が alert、crit、emer のいずれかの場合、CRITICAL |
| packetsReceived | network.received_packets | ログ形式が src_ip のない CSV の場合の column15 の値 |
| プロセス | target.application | Grok パターンの process フィールドの値 |
| protocol_number_src | network.ip_protocol | ログ形式が SYSLOG の場合は column12 の値。それ以外の場合は ip_protocol_out 変数から抽出された値 |
| route_domain | additional.fields.route_domain.string_value | ログ形式が SYSLOG の場合は column13 の値、それ以外の場合は column9 の値 |
| source_fqdn | additional.fields.source_fqdn.string_value | ログ形式が SYSLOG の場合は column5 の値、それ以外の場合は column7 の値 |
| src_geo | additional.fields.src_geo.string_value | column8 の値 |
| src_ip | principal.asset.ip, principal.ip | ログ形式が SYSLOG の場合は column6 の値、ログ形式が src_ip のない CSV の場合は column9 の値、それ以外の場合は column5 の値 |
| src_port | principal.port | ログ形式が SYSLOG の場合は column9 の値。ログ形式が src_ip のない CSV の場合は column7 の値。それ以外の場合は column7 の値。 |
| ts | metadata.event_timestamp | grok パターンの ts フィールドの値 |
| vlan | additional.fields.vlan.string_value | ログ形式が SYSLOG の場合は column11 の値、それ以外の場合は column21 の値 |
| metadata.event_type | src_ip と dest_ip が存在する場合は NETWORK_CONNECTION、src_ip のみが存在する場合は STATUS_UPDATE、それ以外の場合は GENERIC_EVENT | |
| metadata.log_type | F5_AFM | |
| metadata.product_name | 高度なファイアウォール管理 | |
| metadata.vendor_name | F5 | |
partition |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
level |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
tty |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
attempts |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
start |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
end |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
prin_ip |
event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip |
変更履歴からマッピング |
internal_tag |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
src_zone |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
dest_zone |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
translated_dest_ip |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
translated_dest_port |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
translated_source_ip |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
translated_source_port |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
syslog_reporter_host |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
sa_translation_pool |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
sa_translation_type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
translated_route_domain |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
send_to_vs |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
src_zone |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
dest_zone |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
acl_policy_name |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
acl_policy_type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
chronicle_log_type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
chronicle_namespace |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
flow_id |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
vlan |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
route_domain |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
partition_name |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
source_ipint_categories |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
src_geo |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
source_fqdn |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
dest_ipint_categories |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
dst_geo |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
dest_fqdn |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
acl_rule_name |
event.idm.read_only_udm.security_result.rule_name |
変更履歴からマッピング |
acl_rule_id |
event.idm.read_only_udm.security_result.rule_id |
変更履歴からマッピング |
action |
event.idm.read_only_udm.security_result.action |
変更履歴からマッピング |
bigip_mgmt_ip |
event.idm.read_only_udm.intermediary.ip |
変更履歴からマッピング |
context_name |
event.idm.read_only_udm.target.resource.name |
変更履歴からマッピング |
context_type |
event.idm.read_only_udm.target.resource.type |
変更履歴からマッピング |
date_time |
event.idm.read_only_udm.metadata.event_timestamp |
変更履歴からマッピング |
dest_ip |
event.idm.read_only_udm.target.ip と event.idm.read_only_udm.target.asset.ip |
変更履歴からマッピング |
net.peer.ip |
event.idm.read_only_udm.target.ip と event.idm.read_only_udm.target.asset.ip |
変更履歴からマッピング |
dest_port |
event.idm.read_only_udm.target.port |
変更履歴からマッピング |
net.peer.port |
event.idm.read_only_udm.target.port |
変更履歴からマッピング |
device_version |
event.idm.read_only_udm.metadata.product_version |
変更履歴からマッピング |
drop_reason |
event.idm.read_only_udm.security_result.summary |
変更履歴からマッピング |
hostname |
event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname |
変更履歴からマッピング |
ip_protocol |
event.idm.read_only_udm.network.ip_protocol |
変更履歴からマッピング |
source_ip |
event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip |
変更履歴からマッピング |
net.host.ip |
event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip |
変更履歴からマッピング |
source_port |
event.idm.read_only_udm.principal.port |
変更履歴からマッピング |
net.host.port |
event.idm.read_only_udm.principal.port |
変更履歴からマッピング |
errdefs_msg_name |
event.idm.read_only_udm.metadata.product_event_type |
変更履歴からマッピング |
errdefs_msgno |
event.idm.read_only_udm.metadata.product_log_id |
変更履歴からマッピング |
source_user |
event.idm.read_only_udm.principal.user.userid |
変更履歴からマッピング |
source_user_group |
event.idm.read_only_udm.principal.user.group_identifiers |
変更履歴からマッピング |
severity |
event.idm.read_only_udm.security_result.severity_details |
変更履歴からマッピング |
dvchost |
event.idm.read_only_udm.intermediary.hostname と event.idm.read_only_udm.intermediary.asset.hostname |
変更履歴からマッピング |
dvc |
event.idm.read_only_udm.intermediary.ip と event.idm.read_only_udm.intermediary.asset.ip |
変更履歴からマッピング |
c6a2 |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
F5SrcZone |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
F5SrcFqdn |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
F5SrcUser |
event.idm.read_only_udm.principal.user.attribute.labels |
変更履歴からマッピング |
c6a3 |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
F5DstZone |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
F5DstVlan |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
F5DstFqdn |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
F5SendToVs |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
F5SrcIpiCategories |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
F5DstIpiCategories |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
module |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
tid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
cpu |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
cmd_line |
event.idm.read_only_udm.target.process.command_line |
変更履歴からマッピング |
msg_data |
event.idm.read_only_udm.security_result.summary |
変更履歴からマッピング |
pid |
event.idm.read_only_udm.principal.process.pid |
変更履歴からマッピング |
user |
event.idm.read_only_udm.principal.user.userid |
変更履歴からマッピング |
folder_path |
event.idm.read_only_udm.principal.file.full_path |
変更履歴からマッピング |
status |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
cmd_data |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
target_ip |
event.idm.read_only_udm.target.ip と event.idm.read_only_udm.target.asset.ip |
変更履歴からマッピング |
desc |
metadata.description |
変更履歴からマッピング |
prin_port |
principal.port |
変更履歴からマッピング |
target_port |
target.port |
変更履歴からマッピング |
ts2 |
metadata.event_timestamp |
変更履歴からマッピング |
tls_ver |
network.tls.version |
変更履歴からマッピング |
cipher |
network.tls.cipher |
変更履歴からマッピング |
prod_event_type |
metadata.product_event_type |
変更履歴からマッピング |
path |
target.url |
変更履歴からマッピング |
response_size |
network.sent_bytes |
変更履歴からマッピング |
received_size |
network.received_bytes |
変更履歴からマッピング |
usr |
principal.user.userid |
変更履歴からマッピング |
schema_version |
target.resource.attribute.labels |
変更履歴からマッピング |
severity_info |
security_result.severity_details |
変更履歴からマッピング |
target_pid |
target.process.pid |
変更履歴からマッピング |
additional1 |
additional.fields |
変更履歴からマッピング |
dvc |
intermediary.hostname |
変更履歴からマッピング |
metadata.event_type |
USER_UNCATEGORIZED |
変更履歴からマッピング |
prin_ip |
principal.ip |
変更履歴からマッピング |
F5FlowID |
additional.fields |
変更履歴からマッピング |
F5TranslatedVlan |
additional.fields |
変更履歴からマッピング |
F5SrcTranslationType |
additional.fields |
変更履歴からマッピング |
F5SrcTranslationPool |
additional.fields |
変更履歴からマッピング |
F5SrcGeo |
additional.fields |
変更履歴からマッピング |
F5DstGeo |
additional.fields |
変更履歴からマッピング |
F5RouteDomain |
additional.fields |
変更履歴からマッピング |
Column12 |
security_result.detection_fields |
変更履歴からマッピング |
Column14 |
security_result.action |
変更履歴からマッピング |
変更ログ
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。