F5 Distributed Cloud Services-Logs erfassen

Parserversion: 6.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Logs von F5 Distributed Cloud Services mit Google Cloud Storage V2 in Google Security Operations aufnehmen.

F5 Distributed Cloud Services ist eine SaaS-basierte Plattform für Sicherheit, Netzwerke und Anwendungsverwaltung, die verteilte Cloud-Infrastruktur, Application Delivery, API-Sicherheit und Web Application Firewall-Funktionen für Multi-Cloud- und Edge-Standorte bietet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Google Cloud-Projekt mit aktivierter Cloud Storage API
  • Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
  • Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
  • Privilegierter Zugriff auf die F5 Distributed Cloud Console
  • Berechtigungen zum Erstellen von Global Log Receiver-Objekten in F5 Distributed Cloud

Google Cloud Storage-Bucket erstellen

  1. Öffnen Sie die Google Cloud Console.
  2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
  3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
  4. Klicken Sie auf Bucket erstellen.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Bucket benennen Geben Sie einen global eindeutigen Namen ein (z. B. f5-dcs-logs).
    Standorttyp Wählen Sie die Option, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
    Standort Wählen Sie den Standort aus (z. B. us-central1).
    Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
    Zugriffssteuerung Einheitlich (empfohlen)
    Schutztools Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

  6. Klicken Sie auf Erstellen.

F5 Distributed Cloud für den Export nach GCS konfigurieren

GCS-Bucket zur Firewall-Zulassungsliste hinzufügen

  1. Für den F5 Distributed Cloud Global Log Receiver müssen die folgenden IP-Adressbereiche zur Zulassungsliste Ihrer Firewall hinzugefügt werden:

    • 193.16.236.64/29
    • 185.160.8.152/29

  2. Wenn Ihr GCS-Bucket VPC Service Controls oder Firewallregeln verwendet, fügen Sie diese IP-Bereiche Ihrer Zulassungsliste hinzu.

Google Cloud-Dienstkonto für F5 Distributed Cloud erstellen

  1. Rufen Sie in der Google Cloud Console die Seite IAM und Verwaltung > Dienstkonten auf.
  2. Klicken Sie auf Dienstkonto erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    • Dienstkontoname: Geben Sie f5-dcs-log-writer (oder einen aussagekräftigen Namen) ein.
    • Beschreibung des Dienstkontos: Geben Sie Service account for F5 Distributed Cloud to write logs to GCS ein.

  4. Klicken Sie auf Erstellen und fortfahren.

  5. Im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt gewähren:

    1. Klicken Sie auf Rolle auswählen.
    2. Suchen Sie nach Storage Object Admin und wählen Sie die Rolle aus.

  6. Klicken Sie auf Weiter.

  7. Klicken Sie auf Fertig.

Dienstkontoschlüssel erstellen

  1. Klicken Sie in der Liste Dienstkonten auf das von Ihnen erstellte Dienstkonto (z. B. f5-dcs-log-writer).
  2. Rufen Sie den Tab Schlüssel auf.
  3. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  4. Wählen Sie JSON als Schlüsseltyp aus.
  5. Klicken Sie auf Erstellen.
  6. Die JSON-Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  7. Speichern Sie diese Datei an einem sicheren Ort. Sie benötigen sie in den nächsten Schritten.

IAM-Berechtigungen für den GCS-Bucket gewähren

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets (z. B. f5-dcs-logs).
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (z. B. f5-dcs-log-writer@PROJECT_ID.iam.gserviceaccount.com).
    • Rollen zuweisen: Wählen Sie Storage-Objekt-Administrator aus.
  6. Klicken Sie auf Speichern.

Google Cloud-Anmeldedaten in der F5 Distributed Cloud Console erstellen

  1. Melden Sie sich unter https://<tenant>.console.ves.volterra.io in der F5 Distributed Cloud Console an.
  2. Wählen Sie auf der Startseite den Dienst Multi-Cloud Network Connect aus.
  3. Gehen Sie zu Verwalten > Standortverwaltung > Cloud-Anmeldedaten.
  4. Klicken Sie auf Add Cloud Credentials (Cloud-Anmeldedaten hinzufügen).
  5. Im Abschnitt Metadaten:
    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. gcp-chronicle-logs).
    • Beschreibung (optional): Geben Sie Cloud Storage credentials for Google SecOps log export ein.
  6. Wählen Sie im Abschnitt Cloud Credentials Type die Option GCP Credentials aus.
  7. Klicken Sie im Feld GCP-Anmeldedaten auf Konfigurieren.
  8. Wählen Sie im Drop-down-Menü Anmeldedatentyp die Option Datei mit Dienstkonto-Anmeldedaten aus.
  9. Klicken Sie auf Upload File (Datei hochladen) und wählen Sie die JSON-Schlüsseldatei aus, die Sie in den vorherigen Schritten heruntergeladen haben.
  10. Klicken Sie auf Übernehmen.
  11. Klicken Sie auf Speichern und beenden.

Globalen Logempfänger erstellen

  1. Achten Sie darauf, dass Sie sich in der F5 Distributed Cloud Console im Dienst Multi-Cloud Network Connect befinden.
  2. Gehen Sie zu Verwalten > Logverwaltung > Globaler Logempfänger.
  3. Klicken Sie auf Globalen Logempfänger hinzufügen.

  4. Im Abschnitt Metadaten:

    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. chronicle-gcs-receiver).
    • Beschreibung (optional): Geben Sie Global log receiver for Google SecOps SIEM ein.

  5. Wählen Sie im Drop-down-Menü Logtyp die Logtypen aus, die Sie exportieren möchten:

    • Anfrageprotokolle: HTTP-Anfrage-/Antwortprotokolle mit Nutzer, Pfad, Methode, Antwortcodes
    • Sicherheitsereignisse: WAF-Ereignisse, DDoS, API-Schutz, Bot-Abwehrereignisse
    • Audit-Logs: Konfigurationsänderungen über öffentliche APIs
    • DNS-Anfrageprotokolle: DNS-Abfrageprotokolle

  6. Wählen Sie im Drop-down-Menü Log Message Selection eine der folgenden Optionen aus:

    • Logs aus dem aktuellen Namespace auswählen: Es werden nur Logs aus dem aktuellen Namespace gesendet.
    • Logs aus allen Namespaces auswählen: Sendet Logs aus allen Namespaces (empfohlen für umfassende Sichtbarkeit)
    • Logs in bestimmten Namespaces auswählen: Sendet Logs aus bestimmten Namespaces (klicken Sie auf Element hinzufügen, um Namespace-Namen hinzuzufügen)

  7. Wählen Sie im Drop-down-Menü Receiver Configuration (Empfängerkonfiguration) die Option GCP Bucket Receiver (GCP-Bucket-Empfänger) aus.

  8. Geben Sie im Feld GCP-Bucket-Name den Namen Ihres GCS-Buckets ein (z. B. f5-dcs-logs).

  9. Wählen Sie im Drop-down-Menü GCP Cloud Credentials die zuvor erstellten Cloud-Anmeldedaten aus (z. B. gcp-chronicle-logs).

  10. Optional: Maximieren Sie Erweiterte Felder einblenden, um Batchoptionen zu konfigurieren:

    • Batch Timeout Options (Optionen für Batch-Zeitüberschreitung): Wählen Sie Timeout Seconds (Zeitüberschreitung in Sekunden) aus und geben Sie einen Wert ein (Standard: 300 Sekunden).
    • Maximale Anzahl von Ereignissen pro Batch: Wählen Sie Maximale Anzahl von Ereignissen aus und geben Sie einen Wert zwischen 32 und 2.000 ein. Wenn Sie keinen Wert festlegen, gibt es kein Limit.
    • Batch-Byte: Wählen Sie Max. Byte aus und geben Sie einen Wert zwischen 4.096 und 1.048.576 ein (Standard: 10485760 Byte / 10 MB).

  11. Klicken Sie auf Speichern und beenden.

Verbindung testen

  1. Suchen Sie in der Liste Globaler Logempfänger nach dem von Ihnen erstellten Empfänger (z. B. chronicle-gcs-receiver).
  2. Klicken Sie in der Spalte Aktionen auf das Dreipunkt-Menü (...).
  3. Wählen Sie Verbindung testen aus.
  4. Warten Sie, bis der Test abgeschlossen ist.

  5. Es sollte eine Meldung angezeigt werden, dass die Verbindung erfolgreich hergestellt wurde.

Logs im GCS-Bucket prüfen

  1. Rufen Sie in der GCP Console Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets (z. B. f5-dcs-logs).
  3. Prüfen Sie, ob im Bucket Logdateien erstellt werden.

  4. F5 Distributed Cloud organisiert Logs in der folgenden Ordnerstruktur:

    YYYY/MM/DD/HH/
    • Für jeden Tag wird ein Ordner erstellt (JJJJ/MM/TT).
    • In jedem Tagesordner wird für jede Stunde (HH) ein Unterordner erstellt.
    • Alle 5 Minuten werden neue komprimierte GZIP-Dateien in den stündlichen Unterordner geschrieben.
    • Die Dateien liegen im NDJSON-Format (durch Zeilenumbruch getrenntes JSON) vor.

  5. Klicken Sie auf eine GZIP-Datei, um sie herunterzuladen und das Logformat zu prüfen.

Google SecOps-Dienstkonto abrufen

Google SecOps verwendet ein eindeutiges Dienstkonto, um Daten aus Ihrem GCS-Bucket zu lesen. Sie müssen diesem Dienstkonto Zugriff auf Ihren Bucket gewähren.

E‑Mail-Adresse des Dienstkontos abrufen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. F5 DCS Logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie F5 Distributed Cloud Services als Logtyp aus.

  7. Klicken Sie auf Dienstkonto abrufen. Eine eindeutige E-Mail-Adresse für das Dienstkonto wird angezeigt, z. B.:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Kopieren Sie diese E-Mail-Adresse, um sie im nächsten Schritt zu verwenden.

  9. Klicken Sie auf Weiter.

  10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI ein:

      gs://f5-dcs-logs/

      Ersetzen Sie f5-dcs-logs durch den Namen Ihres GCS-Buckets.

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

      • Nie: Nach Übertragungen werden keine Dateien gelöscht (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.

    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

    • Asset-Namespace: Der Asset-Namespace

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  11. Klicken Sie auf Weiter.

  12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage-Objekt-Betrachter für Ihren GCS-Bucket.

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets (z. B. f5-dcs-logs).
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
    • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.

  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
_id metadata.product_log_id Wert direkt kopiert
src principal.namespace Wert direkt kopiert
kubernetes_labels_app target.resource.attribute.labels Zusammengeführt aus app_label (abgeleitet von kubernetes_labels_app)
kubernetes_host target.hostname Wert direkt kopiert
kubernetes_container_name target.resource.product_object_id Wert direkt kopiert
bot_info.classification security_result.detection_fields Zusammengeführt aus bot_info_classification_label (abgeleitet von bot_info.classification)
bot_info.name security_result.detection_fields Zusammengeführt aus bot_info_name_label (abgeleitet von bot_info.name)
bot_info.type security_result.detection_fields Zusammengeführt aus bot_info_type_label (abgeleitet von bot_info.type)
timestamp @timestamp Geparsed mit Datumsfilter mit RFC 3339, UNIX, ISO8601
visitor_id security_result.detection_fields Zusammengeführt aus visitor_id_label (abgeleitet von visitor_id)
Tag security_result.detection_fields Zusammengeführt aus tag_label (abgeleitet von tag)
Aktion security_result.action Auf ALLOW setzen, wenn Übereinstimmungen zulässig sind, auf BLOCK, wenn Übereinstimmungen abgelehnt werden
die Ausprägung security_result.severity Wird auf HIGH gesetzt, wenn ein Fehler oder eine Warnung vorliegt, auf CRITICAL, wenn ein kritischer Fehler vorliegt, auf MEDIUM, wenn ein Hinweis vorliegt, und auf LOW, wenn Informationen vorliegen.
die Ausprägung security_result.severity_details Wert direkt kopiert
api_endpoint target.labels Zusammengeführt aus api_endpoint_label (abgeleitet von api_endpoint)
app_firewall_name principal.process.command_line Wert direkt kopiert
app_type security_result.detection_fields Zusammengeführt aus about_app_type (abgeleitet von app_type)
as_org security_result.detection_fields Zusammengeführt aus about_as_org (abgeleitet von as_org)
asn security_result.detection_fields Zusammengeführt aus „about_asn“ (abgeleitet von „asn“)
kubernetes.pod_id security_result.detection_fields Zusammengeführt aus about_pod_id (abgeleitet von kubernetes.pod_id)
kubernetes.pod_name security_result.detection_fields Zusammengeführt aus about_pod_name (abgeleitet von kubernetes.pod_name)
latitude principal.location.region_latitude In Gleitkommazahl umgewandelt
longitude principal.location.region_longitude In Gleitkommazahl umgewandelt
req_params additional.fields Zusammengeführt aus about_req_params (abgeleitet von req_params)
as_number additional.fields Zusammengeführt aus „about_as_number“ (von „as_number“ in String konvertiert)
x_forwarded_for intermediary.ip Zusammengeführt, wenn die IP-Adresse gültig ist
x_forwarded_for security_result.about.resource.attribute.labels Zusammengeführt aus x_forwarded_for_label, wenn keine IP-Adresse
policy_hit.malicious_user_mitigate_action security_result.detection_fields Zusammengeführt aus malicious_user_label (abgeleitet von policy_hit.malicious_user_mitigate_action)
policy_hit.policy security_result.about.resource.attribute.labels Zusammengeführt aus policy_label (abgeleitet von policy_hit.policy)
policy_hit.policy_namespace additional.fields Zusammengeführt aus policy_namespace_label (abgeleitet von policy_hit.policy_namespace)
policy_hit.policy_rule security_result.rule_name Wert direkt kopiert
policy_hit.policy_rule_description security_result.description Wert direkt kopiert
policy_hit.policy_set target.resource.name Wert direkt kopiert
policy_hit.result additional.fields Zusammengeführt aus result_label (abgeleitet von policy_hit.result)
vhost_id security_result.detection_fields Zusammengeführt aus vhostlabel (abgeleitet von vhost_id)
messageid security_result.detection_fields Zusammengeführt aus messageid_label (abgeleitet von messageid)
sec_event_name security_result.detection_fields Zusammengeführt aus sec_event_name_label (abgeleitet von sec_event_name)
sec_event_type security_result.detection_fields Zusammengeführt aus sec_event_type_label (abgeleitet von sec_event_type)
vh_name security_result.detection_fields Zusammengeführt aus vhost_name_label (abgeleitet von vh_name)
tls_fingerprint security_result.detection_fields Zusammengeführt aus tls_fingerprint_label (abgeleitet von tls_fingerprint)
Zeit additional.fields Zusammengeführt aus „time_label“ (abgeleitet von „time“)
kubernetes.namespace_name additional.fields Zusammengeführt aus namespace_name_label (abgeleitet von kubernetes.namespace_name)
src_instance additional.fields Zusammengeführt aus src_instance_label (abgeleitet von src_instance)
violation_rating additional.fields Zusammengeführt aus violation_rating_label (abgeleitet von violation_rating)
req_size additional.fields Zusammengeführt aus req_size_label (aus req_size in String konvertiert)
rsp_code additional.fields Zusammengeführt aus rsp_code_label (aus rsp_code in String konvertiert)
rsp_code_class additional.fields Zusammengeführt aus rsp_code_class_label (aus rsp_code_class in String konvertiert)
rsp_size additional.fields Zusammengeführt aus rsp_size_label (aus rsp_size in String konvertiert)
original_path additional.fields Zusammengeführt aus original_path_label (abgeleitet von original_path)
req_path target.url Wert direkt kopiert
req_headers_size additional.fields Zusammengeführt aus req_headers_size_label (abgeleitet von req_headers_size)
recommended_action additional.fields Zusammengeführt aus recommended_action_label (abgeleitet von recommended_action)
enforcement_mode additional.fields Zusammengeführt aus enforcement_mode_label (abgeleitet von enforcement_mode)
src_ip principal.ip, principal.asset.ip Zusammengeführt, wenn Übereinstimmung mit IPv4-Regex
Host principal.ip, principal.asset.ip Zusammengeführt, wenn Übereinstimmung mit IPv4-Regex
Hostname principal.hostname, principal.asset.hostname Wert wird direkt kopiert, wenn er nicht leer ist, oder „-“
http_version network.application_protocol_version Wert direkt kopiert
http_version network.application_protocol Auf HTTP festlegen, wenn HTTP enthalten ist, auf HTTPS, wenn HTTPS enthalten ist
Netzwerk principal.nat_ip Zusammengeführt, wenn Übereinstimmung mit IPv4-Regex
dst_ip target.ip, target.asset.ip Zusammengeführt, wenn Übereinstimmung mit IPv4-Regex
dst_port target.port In Ganzzahl umgewandelt
src_port principal.port In Ganzzahl umgewandelt
src_site additional.fields Zusammengeführt aus src_site_field (abgeleitet von src_site)
Website additional.fields Zusammengeführt aus site_field (abgeleitet von site)
cluster_name additional.fields Zusammengeführt aus cluster_name_field (abgeleitet von cluster_name)
Domain principal.administrative_domain Wert direkt kopiert
method network.http.method Wert wird direkt kopiert, wenn er nicht leer oder „–“ ist
Namespace target.namespace Wert direkt kopiert
Ort principal.location.city Wert direkt kopiert
stream security_result.detection_fields Zusammengeführt aus stream_label (abgeleitet von stream)
Region principal.location.country_or_region Wert direkt kopiert
Nutzer principal.user.userid Aus dem Nutzer mit dem Grok-Muster für user_id extrahiert
user_ip target.ip, target.asset.ip Aus extrahierter user_ip zusammengeführt
Cookie additional.fields Aus Cookie zusammengeführt (abgeleitet von Cookie in req_headers)
X-F5-Request-Id security_result.detection_fields Zusammengeführt aus x_f5_request_id (abgeleitet von X-F5-Request-Id in req_headers)
X-Request-Id security_result.detection_fields Zusammengeführt aus request_id (abgeleitet von X-Request-Id in req_headers)
security_result security_result Direkt zusammengeführt
has_network, has_principal, has_target metadata.event_type Wird auf NETWORK_CONNECTION gesetzt, wenn alle „true“ sind; STATUS_UPDATE, wenn „has_principal“ „true“ ist; andernfalls GENERIC_EVENT
metadata.vendor_name Legen Sie diesen Wert auf „F5_DCS“ fest.
metadata.product_name Legen Sie diesen Wert auf „F5 DCS“ fest.
intermediary intermediary Direkt zusammengeführt
rsp_size event.idm.read_only_udm.network.received_bytes Aus Änderungsprotokoll zugeordnet
dst event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
has_sec_event event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
app event.idm.read_only_udm.target.application Aus Änderungsprotokoll zugeordnet
node_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
sample_rate event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_first_downstream_tx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_first_upstream_rx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_first_upstream_tx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_last_downstream_tx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_last_rx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_last_upstream_rx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
time_to_last_upstream_tx_byte event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
timeseries_enabled event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
sni event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
terminated_time event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
rtt_downstream_seconds event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
rtt_upstream_seconds event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
rsp_code_details event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
authority event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
connected_time event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
req_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
proxy_type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
vh_type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
dst_instance event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
lb_port event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
mtls event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ja4_tls_fingerprint event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
duration_with_data_tx_delay event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
dst_site event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
protocol and scheme event.idm.read_only_udm.network.application_protocol Aus Änderungsprotokoll zugeordnet
referer event.idm.read_only_udm.network.http.referral_url Aus Änderungsprotokoll zugeordnet
tls_cipher_suite event.idm.read_only_udm.network.tls.cipher Aus Änderungsprotokoll zugeordnet
tls_version event.idm.read_only_udm.network.tls.version Aus Änderungsprotokoll zugeordnet
user_agent event.idm.read_only_udm.network.http.user_agent Aus Änderungsprotokoll zugeordnet
user_agent event.idm.read_only_udm.network.http.parsed_user_agent Aus Änderungsprotokoll zugeordnet
browser_type event.idm.read_only_udm.principal.browser.browser_type Aus Änderungsprotokoll zugeordnet
content-type event.idm.read_only_udm.principal.process.file.mime_type Aus Änderungsprotokoll zugeordnet
response_flags security_result.detection_fields Aus Änderungsprotokoll zugeordnet
original_authority event.idm.read_only_udm.target.administrative_domain Aus Änderungsprotokoll zugeordnet
country event.idm.read_only_udm.principal.location.country_or_region Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten