F5 ASM ログを収集する

パーサーのバージョン: 33.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して F5 Application Security Manager（ASM）ログを Google Security Operations に取り込む方法について説明します。

F5 BIG-IP ASM は、HTTP リクエスト違反、ポリシー適用アクション、セキュリティ イベントの syslog メッセージを生成するウェブ アプリケーション ファイアウォール（WAF）です。パーサーは複数のログ形式（CEF、syslog、CSV、Splunk、JSON）をサポートし、それらを Unified Data Model（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと F5 BIG-IP アプライアンス間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • F5 BIG-IP tmsh への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。

  4. Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが [アクティブ（実行中）] と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/f5_asm:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: F5_ASM
        raw_log_field: body

service:
    pipelines:
        logs/f5_asm_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/f5_asm

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • すべてのインターフェースでリッスンする 0.0.0.0（推奨）
      • ポート 514 は標準の syslog ポートです（Linux で root が必要。root 以外の場合は 1514 を使用）

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョナル エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R キーを押して「services.msc」と入力し、Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

F5 ASM で syslog を構成する

  1. 次のコマンドを入力して、tmsh インスタンスにログインします。

    tmsh

  2. 次のコマンドを使用して syslog 構成を編集します。

    edit /sys syslog all-properties

  3. Syslog 構成が vi テキスト エディタで開き、次の例のようになります。

    modify syslog {
    auth-priv-from notice
    auth-priv-to emerg
    cron-from warning
    cron-to emerg
    daemon-from notice
    daemon-to emerg
    description none
    include none
    iso-date disabled
    kern-from notice
    kern-to emerg
    mail-from notice
    mail-to emerg
    messages-from notice
    messages-to warning
    remote-servers none
    user-log-from notice
    user-log-to emerg
}

  4. include none の行を次の syslog フィルタに置き換えます。

    include `
    filter f_audit{
        match(AUDIT);
    };
    destination d_syslog_server {
        udp(\`<bindplane-ip>\` port (<bindplane-port>));
    };
    log {
        source(s_syslog_pipe);
        filter(f_audit);
        destination(d_syslog_server);
    };
`

  5. <bindplane-ip> と <bindplane-port> は、Bindplane エージェント用に構成された実際の IP アドレスとポート番号に置き換えます。

  6. 次のキーシーケンスを入力して vi を終了します。

    :wq!

  7. 次のプロンプトで、y と入力してファイルへの変更を保存します。

    Save changes? (y/n/e)

  8. 次のコマンドを入力して、構成を保存します。

    save /sys config

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
act security_result.action act が blocked の場合、BLOCK にマッピングされます。act が passed または legal の場合、ALLOW にマッピングされます。act に alerted が含まれている場合は、QUARANTINE にマッピングされます。それ以外の場合、Splunk 形式ではデフォルトで ALLOW になります。
app network.application_protocol 未加工ログに存在する場合は、HTTPS に直接マッピングされます。
attack_type security_result.category_details、metadata.description 他のフィールドと組み合わせて security_result.category を決定するために使用されます。他の説明がない場合は、イベントの説明になります。Splunk 形式のログの場合、violations が空の場合にカテゴリと概要を特定するために使用されます。
client_ip principal.ip、principal.asset.ip プリンシパル IP に直接マッピングされます。
cn1 network.http.response_code HTTP レスポンス コードに直接マッピングされます。
cn2 security_result.severity_details セキュリティ結果の重大度の詳細に直接マッピングされます。response_code とともに使用して、イベントがアラートかどうかを判断します。
column1 principal.ip、principal.asset.ip 特定の CSV 形式のログのプリンシパル IP にマッピングされます。
column2 target.port 特定の CSV 形式のログのターゲット ポートにマッピングします。
column3 target.ip、target.asset.ip 特定の CSV 形式のログのターゲット IP にマッピングします。
column4 security_result.severity 特定の CSV 形式のログのセキュリティ結果の重大度にマッピングします。値 Information、Informational、0、4 は INFORMATIONAL にマッピングされます。Warning、1、3 は MEDIUM にマッピングされます。Error、2 は ERROR にマッピングされます。Critical、CRITICAL、critical は CRITICAL にマッピングされます。
column7 security_result.detection_fields、network.http.response_code XML データが含まれます。request-violations 内の viol_name が抽出され、キー Request Violation Name_index を持つ検出フィールドとして追加されます。response_violations 内の viol_name が抽出され、キー Response Violation Name_index を持つ検出フィールドとして追加されます。response_violations 内の response_code は network.http.response_code にマッピングされます。
column8 security_result.rule_name 特定の CSV 形式のログのセキュリティ結果ルール名にマッピングされます。
cs1 security_result.rule_name セキュリティ結果のルール名に直接マッピングされます。
cs2 security_result.summary セキュリティ結果の概要に直接マッピングされます。
cs5 principal.ip、principal.asset.ip、additional.fields cs5 に JNDI LDAP URL が含まれている場合は、キー JNDI_LDAP_URL を持つ追加フィールドとして追加されます。それ以外の場合、カンマ区切りの IP が含まれていると、principal_ip と異なる IP が追加のプリンシパル IP として追加されます。
cs6 principal.location.country_or_region プリンシパル ロケーションの国または地域に直接マッピングされます。
data network.session_id、network.sent_bytes、network.tls.version 存在する場合は、JSON として解析して sessionid、bits（sent_bytes にマッピング）、version を抽出します。
date_time metadata.event_timestamp 解析して適切な形式に変換した後、イベントのタイムスタンプに直接マッピングされます。
dest_ip target.ip、target.asset.ip ターゲット IP に直接マッピングされます。
dest_port target.port ターゲット ポートに直接マッピングされます。
dhost target.hostname ターゲット ホスト名に直接マッピングされます。
dpt target.port ターゲット ポートに直接マッピングされます。
dst target.ip ターゲット IP に直接マッピングされます。
dvc intermediary.ip 仲介 IP に直接マッピングされます。
dvchost target.hostname、intermediary.hostname ターゲット ホスト名と仲介ホスト名に直接マッピングされます。
errdefs_msgno additional.fields キー errdefs_msgno の追加フィールドとして追加されます。
externalId additional.fields キー Support_Id の追加フィールドとして追加されます。
f5_host target.hostname、intermediary.hostname ターゲット ホスト名と仲介ホスト名に直接マッピングされます。
geo_info principal.location.country_or_region、security_result.detection_fields 主なロケーションの国または地域にマッピングされます。キー geo_info を持つ検出フィールドとしても追加されます。
host target.hostname ターゲット ホスト名に直接マッピングされます。
ids additional.fields サポート ID のカンマ区切りのリストとして解析されます。各 ID は、キー supportid を持つリスト値の追加フィールドに追加されます。
ip_addr_intelli security_result.detection_fields キー ip_addr_intelli を持つ検出フィールドとして追加されます。
ip_client principal.ip プリンシパル IP に直接マッピングされます。
ip_route_domain principal.ip、principal.asset.ip IP 部分が抽出され、プリンシパル IP にマッピングされます。
irule security_result.rule_name セキュリティ結果のルール名に直接マッピングされます。
irule-version security_result.rule_version セキュリティ結果ルールのバージョンに直接マッピングされます。
level security_result.severity、security_result.severity_details セキュリティ結果の重大度を判断するために使用されます。error または warning は HIGH にマッピングされます。notice は MEDIUM にマッピングされます。information または info は LOW にマッピングされます。未加工の値も severity_details にマッピングされます。
logtime metadata.event_timestamp 解析後にイベント タイムスタンプに直接マッピングされます。
management_ip_address、management_ip_address_2 intermediary.ip 仲介 IP に直接マッピングされます。
method network.http.method HTTP メソッドに直接マッピングされます。
msg security_result.summary、metadata.description 一部のログ形式のセキュリティ結果の概要に直接マッピングされます。他の説明がない場合は、イベントの説明になります。
policy_name security_result.about.resource.name、security_result.rule_name セキュリティ結果リソース名またはルール名に直接マッピングされます。
process target.application ターゲット アプリケーションに直接マッピングされます。
process_id principal.process.pid プリンシパル プロセス ID に直接マッピングされます。
protocol network.application_protocol、network.ip_protocol、app_protocol ログ形式に応じて、アプリケーション プロトコルまたは IP プロトコルに直接マッピングされます。
proxy_id security_result.rule_id セキュリティ結果のルール ID に直接マッピングされます。
query_string additional.fields キー query_string の追加フィールドとして追加されます。
referrer network.http.referral_url HTTP 参照 URL に直接マッピングされます。
req_method network.http.method HTTP メソッドに直接マッピングされます。
req_status security_result.action、security_result.action_details、security_result.detection_fields blocked の場合は、security_result.action を BLOCK にマッピングします。passed または legal の場合は、ALLOW にマッピングされます。alerted が含まれている場合は、QUARANTINE にマッピングされます。未加工の値も action_details にマッピングされ、キー req_status を持つ検出フィールドとして追加されます。
request target.url ターゲット URL に直接マッピングされます。
requestMethod network.http.method HTTP メソッドに直接マッピングされます。
resp security_result.detection_fields キー resp を持つ検出フィールドとして追加されます。
resp_code network.http.response_code HTTP レスポンス コードに直接マッピングされます。
response security_result.summary セキュリティ結果の概要に直接マッピングされます。
response_code network.http.response_code HTTP レスポンス コードに直接マッピングされます。
route_domain additional.fields キー route_domain の追加フィールドとして追加されます。
rt metadata.event_timestamp 解析後にイベント タイムスタンプに直接マッピングされます。
sev security_result.severity、security_result.severity_details セキュリティ結果の重大度を判断するために使用されます。ERROR は ERROR にマッピングされます。未加工の値も severity_details にマッピングされます。
severity security_result.severity、security_result.severity_details セキュリティ結果の重大度を判断するために使用されます。Informational は LOW に、Error または warning は HIGH に、critical は CRITICAL に、notice は MEDIUM に、information または info は LOW にマッピングされます。未加工の値も severity_details にマッピングされます。
sig_ids security_result.rule_id セキュリティ結果のルール ID に直接マッピングされます。
sig_names security_result.rule_name セキュリティ結果のルール名に直接マッピングされます。
snat_ip principal.nat_ip プリンシパル NAT IP に直接マッピングされます。
snat_port principal.nat_port プリンシパル NAT ポートに直接マッピングされます。
src principal.ip、principal.asset.ip プリンシパル IP に直接マッピングされます。
spt principal.port プリンシパル ポートに直接マッピングされます。
sub_violates security_result.about.resource.attribute.labels キー Sub Violations のラベルとしてセキュリティ結果リソース属性に追加されます。
sub_violations security_result.about.resource.attribute.labels キー Sub Violations のラベルとしてセキュリティ結果リソース属性に追加されます。
summary security_result.summary セキュリティ結果の概要に直接マッピングされます。
support_id metadata.product_log_id support_id - で始まり、プロダクトログ ID にマッピングされます。
suid network.session_id ネットワーク セッション ID に直接マッピングされます。
suser principal.user.userid プリンシパル ユーザー ID に直接マッピングされます。
timestamp metadata.event_timestamp 解析して適切な形式に変換した後、イベントのタイムスタンプに直接マッピングされます。
unit_host principal.hostname、principal.asset.hostname プリンシパル ホスト名に直接マッピングされます。
uri principal.url プリンシパル URL に直接マッピングされます。
user_id principal.user.userid プリンシパル ユーザー ID に直接マッピングされます。
user_name principal.user.user_display_name プリンシパル ユーザーの表示名に直接マッピングされます。
username principal.user.userid プリンシパル ユーザー ID に直接マッピングされます。
useragent network.http.user_agent、network.http.parsed_user_agent HTTP ユーザー エージェントに直接マッピングされます。解析され、解析されたユーザー エージェントにマッピングされます。
virtualserver network.tls.client.server_name TLS クライアント サーバー名に直接マッピングされます。
violate_details security_result.detection_fields、network.http.response_code XML データが含まれます。request-violations 内の viol_name が抽出され、キー Request Violation Name_index を持つ検出フィールドとして追加されます。response_violations 内の viol_name が抽出され、キー Response Violation Name_index を持つ検出フィールドとして追加されます。response_violations 内の response_code は network.http.response_code にマッピングされます。
violate_rate security_result.detection_fields キー violate_rate を持つ検出フィールドとして追加されます。
violation_rating security_result.about.resource.attribute.labels キー Violations Rating のラベルとしてセキュリティ結果リソース属性に追加されます。
violations security_result.description セキュリティ結果の説明に直接マッピングされます。Splunk 形式のログの場合、概要が存在するかどうかを判断するために使用されます。
virus_name security_result.threat_name セキュリティ結果の脅威名に直接マッピングされます。
vs_name network.tls.client.server_name TLS クライアント サーバー名に直接マッピングされます。
websocket_direction network.direction clientToServer の場合は、INBOUND にマッピングされます。ServerToclient の場合は、OUTBOUND にマッピングされます。
websocket_message_type security_result.detection_fields キー WebsocketMessageType を持つ検出フィールドとして追加されます。
x_fwd_hdr_val principal.ip、principal.asset.ip プリンシパル IP に直接マッピングされます。
dvchost event.idm.read_only_udm.intermediary.hostname と event.idm.read_only_udm.intermediary.asset.hostname 変更履歴からマッピング
headers_kv_data.host event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
column16 event.idm.read_only_udm.network.http.response_code 変更履歴からマッピング
column18 event.idm.read_only_udm.network.session_id 変更履歴からマッピング
column19 event.idm.read_only_udm.security_result.severity_details 変更履歴からマッピング
column15 event.idm.read_only_udm.security_result.summary 変更履歴からマッピング
column14 event.idm.read_only_udm.security_result.action_details 変更履歴からマッピング
principal_mail event.idm.read_only_udm.principal.user.email_addresses 変更履歴からマッピング
column9 event.idm.read_only_udm.metadata.collected_timestamp 変更履歴からマッピング
Referer event.idm.read_only_udm.network.http.referral_url 変更履歴からマッピング
Content-Length event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Origin event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Sec-Fetch-Site event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Sec-Fetch-Mode event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Sec-Fetch-Dest event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-XSRF-TOKEN event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Priority event.idm.read_only_udm.additional.fields 変更履歴からマッピング
request_body_size event.idm.read_only_udm.additional.fields 変更履歴からマッピング
scope_details event.idm.read_only_udm.additional.fields 変更履歴からマッピング
violation_index_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
context_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
object_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
object_pattern_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
staging_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_type_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_id_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_id_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_name_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
buffer_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_index_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_location_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_error_code_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_specific_desc_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
content_profile_fault_detail_value event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
headers_kv_data.host event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
headers_kv_data.device-id event.idm.read_only_udm.principal.asset.asset_id 変更履歴からマッピング
headers_kv_data.app-version event.idm.read_only_udm.principal.platform_version 変更履歴からマッピング
json_parsed_data.device.model event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.manufacturer event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.build_number event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.os event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.sdk_int event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.app_signature event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.app_version event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
json_parsed_data.device.os_version event.idm.read_only_udm.principal.asset.platform_software.platform_version 変更履歴からマッピング
json_parsed_data.username event.idm.read_only_udm.additional.fields 変更履歴からマッピング
json_parsed_data.request_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
headers_kv_data.content-type event.idm.read_only_udm.additional.fields 変更履歴からマッピング
headers_kv_data.accept-encoding event.idm.read_only_udm.additional.fields 変更履歴からマッピング
headers_kv_data.signature event.idm.read_only_udm.additional.fields 変更履歴からマッピング
headers_kv_data.sequence_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
headers_kv_data.platform event.idm.read_only_udm.principal.asset.platform_software.platform 変更履歴からマッピング
column24 event.idm.read_only_udm.metadata.product_log_id 変更履歴からマッピング
column7 event.idm.read_only_udm.intermediary.ip 変更履歴からマッピング
column29 event.idm.read_only_udm.security_result.description 変更履歴からマッピング
column8 event.idm.read_only_udm.network.http.method 変更履歴からマッピング
requestMethod event.idm.read_only_udm.network.http.method 変更履歴からマッピング
target_url event.idm.read_only_udm.target.url 変更履歴からマッピング
http_version event.idm.read_only_udm.network.network.tls.version 変更履歴からマッピング
hostname event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
hostname event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
X-AnchorMailbox event.idm.read_only_udm.target.user.email_addresses 変更履歴からマッピング
X-OWA-ExplicitLogonUser event.idm.read_only_udm.principal.user.email_addresses 変更履歴からマッピング
X-OWA-CorrelationId event.idm.read_only_udm.metadata.product_log_id 変更履歴からマッピング
Host event.idm.read_only_udm.target.hostname 変更履歴からマッピング
Host event.idm.read_only_udm.target.asset.hostname 変更履歴からマッピング
priority event.idm.read_only_udm.additional.fields 変更履歴からマッピング
facility event.idm.read_only_udm.additional.fields 変更履歴からマッピング
deviceExternalId event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-OWA-ActionName event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-OWA-Attempt event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-OWA-CANARY event.idm.read_only_udm.additional.fields 変更履歴からマッピング
client-request-id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
sec-ch-ua-mobile event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Action event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-Requested-With event.idm.read_only_udm.additional.fields 変更履歴からマッピング
cs2 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-OWA-ActionId event.idm.read_only_udm.additional.fields 変更履歴からマッピング
cn3 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
X-OWA-UrlPostData event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
X-OWA-ClientBuildVersion event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
sec-ch-ua event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
summary event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
rule_version event.idm.read_only_udm.metadata.product_version 変更履歴からマッピング
requestClientApplication event.idm.read_only_udm.network.http.user_agent 変更履歴からマッピング
product_name event.idm.read_only_udm.security_result.rule_type 変更履歴からマッピング
cs3 event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
pathContext event.idm.read_only_udm.target.application 変更履歴からマッピング
f5_name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
refer_url event.idm.read_only_udm.network.http.referral_url 変更履歴からマッピング
cs3 event.idm.read_only_udm.network.http.referral_url 変更履歴からマッピング
staged_sig_names event.idm.read_only_udm.additional.fields 変更履歴からマッピング
net.host.ip event.idm.read_only_udm.principal.ip 変更履歴からマッピング
net.host.ip event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
net.peer.ip event.idm.read_only_udm.target.ip 変更履歴からマッピング
net.peer.ip event.idm.read_only_udm.target.asset.ip 変更履歴からマッピング
net.peer.name event.idm.read_only_udm.target.hostname 変更履歴からマッピング
net.peer.name event.idm.read_only_udm.target.asset.hostname 変更履歴からマッピング
net.host.name event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
net.host.name event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
net.host.port event.idm.read_only_udm.principal.port 変更履歴からマッピング
net.peer.port event.idm.read_only_udm.target.port 変更履歴からマッピング
vs_name event.idm.read_only_udm.target.resource.name 変更履歴からマッピング
captcha_result event.idm.read_only_udm.additional.fields 変更履歴からマッピング
policy_apply_date event.idm.read_only_udm.additional.fields 変更履歴からマッピング
request event.idm.read_only_udm.additional.fields 変更履歴からマッピング
dos_baseline_tps event.idm.read_only_udm.additional.fields 変更履歴からマッピング
reported_entity_type event.idm.read_only_udm.additional.fields 変更履歴からマッピング
event_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
source_ip event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
device_blade event.idm.read_only_udm.intermediary.asset.attribute.labels 変更履歴からマッピング
partition_name event.idm.read_only_udm.intermediary.asset.attribute.labels 変更履歴からマッピング
timestamp event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
req_status event.idm.read_only_udm.security_result.action と event.idm.read_only_udm.security_result.action_details 変更履歴からマッピング
deviceCustomDate1 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
deviceCustomDate1Label event.idm.read_only_udm.additional.fields 変更履歴からマッピング
incap_client_ip event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
exec_data target.process.command_line 変更履歴からマッピング
cs3 additional.fields 変更履歴からマッピング
form_data additional.fields 変更履歴からマッピング
SOAPAction additional.fields 変更履歴からマッピング
link target.url 変更履歴からマッピング
device_version metadata.product_version 変更履歴からマッピング
errdefs_msgno", "support_id_array", "audit_component additional.fields 変更履歴からマッピング
geo_info", "resp", "req_status", "violate_rate", and "ip_addr_intelli security_result.detection_fields 変更履歴からマッピング
message_body metadata.description 変更履歴からマッピング
tmm_msg metadata.description 変更履歴からマッピング
bigip_mgmt_ip", "client_ip_geo_location", "client_port", "client_request_uri", "device_version", "http_method", "route_domain" and "virtual_server_name principal.ip 変更履歴からマッピング
profile_name", "action", "previous_action", "bot_signature", "bot_signature_category", "bot_name", "class", "anomaly_categories", "anomalies", "micro_services_name", "micro_services_type", "micro_services_matched_wildcard_url", "micro_services_hostname", "browser_configured_verification_action", "browser_actual_verification_action", "new_request_status", "mobile_is_app", "enforced_by", "application_display_name", "client_type", and "challenge_failure_reason additional.fields 変更履歴からマッピング
referer network.http.referral_url 変更履歴からマッピング
management_ip_address metadata.intermediary.ip 変更履歴からマッピング
request_status security_result.action 変更履歴からマッピング
type metadata.product_event_type 変更履歴からマッピング
data.sessionid network.session_id 変更履歴からマッピング
data.bits network.sent_bytes 変更履歴からマッピング
data.version network.tls.version 変更履歴からマッピング
client_port principal.port 変更履歴からマッピング
server_ip target.ip 変更履歴からマッピング
server_port target.port 変更履歴からマッピング
event_id metadata.product_log_id 変更履歴からマッピング
prin_ip principal.ip 変更履歴からマッピング
SSH app_protocol 変更履歴からマッピング
USER_LOGIN metadata.event_type 変更履歴からマッピング
auth_level principal.user.attribute.roles 変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。