Falco IDS ログを収集する

パーサーのバージョン: 1.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Falcosidekick を介して Webhook を使用して、ランタイム セキュリティ アラートを Google Security Operations に push するように Falco を構成する方法について説明します。

Falco は、予期しないアプリケーションの動作を検出し、実行時に脅威をアラートするオープンソースのランタイム セキュリティ ツールです。システムコール モニタリングを使用して、カスタマイズ可能なセキュリティ ルールに基づいてコンテナ、Kubernetes、Linux ホストの異常なアクティビティを検出します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• Kubernetes（Helm 経由）または Linux ホストにインストールされた Falco
• Falco 構成ファイルまたは Helm 値を変更するためのアクセス権
• Falcosidekick をデプロイするための特権アクセス（まだデプロイされていない場合）

Google SecOps で Webhook フィードを作成する

フィードを作成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Falco Runtime Security）。
5. [Source type] として [Webhook] を選択します。
6. [ログタイプ] として [Falco IDS] を選択します。
7. [次へ] をクリックします。
8. 次の入力パラメータの値を指定します。
   • 分割区切り文字（省略可）: 空白のままにします（Falcosidekick はリクエストごとに 1 つのイベントを送信します）。
   • Asset namespace: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル
9. [次へ] をクリックします。
10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

秘密鍵を生成して保存する

フィードを作成したら、認証用のシークレット キーを生成する必要があります。

1. フィードの詳細ページで、[秘密鍵を生成] をクリックします。
2. ダイアログに秘密鍵が表示されます。
3. 秘密鍵をコピーして安全に保存します。

重要: 秘密鍵は一度しか表示されず、後で取得することはできません。秘密鍵を紛失した場合は、新しい秘密鍵を生成する必要があります。

フィード エンドポイントの URL を取得する

1. フィードの [詳細] タブに移動します。
2. [エンドポイント情報] セクションで、[フィード エンドポイント URL] をコピーします。

3. URL の形式は次のとおりです。

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   ここで、{region} は Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）、{parent} は projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE> 形式のリソースパスです。

4. 次の手順で使用するために、この URL を保存します。

5. [完了] をクリックします。

Google Cloud API キーを作成する

Google SecOps では、認証に API キーが必要です。Google Cloud コンソールで制限付き API キーを作成します。

API キーを作成する

1. Google Cloud コンソールの [認証情報] ページに移動します。
2. プロジェクト（Google SecOps インスタンスに関連付けられているプロジェクト）を選択します。
3. [認証情報を作成] > [API キー] をクリックします。API キーが作成され、ダイアログに表示されます。
4. [API キーを編集] をクリックしてキーを制限します。

API キーを制限する

1. [API キー] 設定ページで、次の操作を行います。
   • 名前: わかりやすい名前を入力します（例: Chronicle Webhook API Key）。
2. [API の制限] で次の操作を行います。
   1. [キーを制限] を選択します。
   2. [API を選択] リストで、[Google SecOps API]（または [Chronicle API]）を検索して選択します。
3. [保存] をクリックします。
4. ページ上部の [API キー] フィールドから API キーの値をコピーします。
5. API キーを安全に保存します。

注: API キーを制限すると、Google SecOps API でのみ使用できるようになり、キーが不正使用された場合のセキュリティ リスクが軽減されます。

Falcosidekick をデプロイする

Falcosidekick は、Falco の公式プロキシ転送ツールです。アラートを Webhook、クラウド ストレージ、SIEM プラットフォームなどの複数の宛先に転送します。

オプション A: Helm を使用して Falco をデプロイする（推奨）

Falco を初めてインストールする場合、または再デプロイできる場合は、この方法を使用して Falco と Falcosidekick の両方をデプロイします。

1. Falco Helm リポジトリを追加します。

   helm repo add falcosecurity https://falcosecurity.github.io/charts
   helm repo update
   

2. Falco の Namespace を作成します。

   kubectl create namespace falco
   

3. 認証を使用して Google SecOps Webhook URL を作成します。

   <ENDPOINT_URL>?key=<API_KEY>
   

   例:

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...
   

4. Falcosidekick を有効にして Falco をインストールします。

   helm install falco falcosecurity/falco \
       --namespace falco \
       --set falcosidekick.enabled=true \
       --set falcosidekick.config.webhook.address="<ENDPOINT_URL>?key=<API_KEY>" \
       --set falcosidekick.config.webhook.customHeaders="X-Webhook-Access-Key:<SECRET_KEY>" \
       --set falcosidekick.config.webhook.minimumpriority="warning" \
       --set tty=true
   

   次のように置き換えます。

   • <ENDPOINT_URL>: Google SecOps フィード エンドポイント URL
   • <API_KEY>: Google Cloud API キー
   • <SECRET_KEY>: フィード作成時の Google SecOps 秘密鍵
   注: falcosidekick.enabled=true の場合、Helm チャートは json_output: true と http_output.url: http://falcosidekick:2801/ を使用して Falco を自動的に構成します。

5. デプロイを確認します。

   kubectl get pods -n falco
   

   想定される出力には、Falco Pod と Falcosidekick Pod の両方が実行されていることが示されます。

   NAME                            READY   STATUS    RESTARTS   AGE
   falco-xxxxx                     2/2     Running   0          2m
   falco-falcosidekick-xxxxx       1/1     Running   0          2m
   

オプション B: Falcosidekick をスタンドアロンでデプロイする

Falco がすでにデプロイされている場合は、Falcosidekick を個別にデプロイし、アラートを送信するように Falco を構成できます。

Falcosidekick をデプロイする

1. Falco Helm リポジトリを追加します（まだ追加されていない場合）。

   helm repo add falcosecurity https://falcosecurity.github.io/charts
   helm repo update
   

2. 認証を使用して Google SecOps Webhook URL を作成します。

   <ENDPOINT_URL>?key=<API_KEY>
   

3. Falcosidekick をインストールします。

   helm install falcosidekick falcosecurity/falcosidekick \
       --namespace falco \
       --set config.webhook.address="<ENDPOINT_URL>?key=<API_KEY>" \
       --set config.webhook.customHeaders="X-Webhook-Access-Key:<SECRET_KEY>" \
       --set config.webhook.minimumpriority="warning"
   

   次のように置き換えます。

   • <ENDPOINT_URL>: Google SecOps フィード エンドポイント URL
   • <API_KEY>: Google Cloud API キー
   • <SECRET_KEY>: フィード作成時の Google SecOps 秘密鍵

4. Falcosidekick が実行されていることを確認します。

   kubectl get pods -n falco -l app.kubernetes.io/name=falcosidekick
   

Falcosidekick にアラートを送信するように Falco を構成する

1. Falcosidekick サービス名を取得します。

   kubectl get svc -n falco -l app.kubernetes.io/name=falcosidekick
   

   サービス名は通常 falcosidekick です。

2. HTTP 出力を有効にするように Falco 構成を更新します。

   Helm を使用している場合は、Falco リリースをアップグレードします。

   helm upgrade falco falcosecurity/falco \
       --namespace falco \
       --reuse-values \
       --set falco.json_output=true \
       --set falco.json_include_output_property=true \
       --set falco.http_output.enabled=true \
       --set falco.http_output.url="http://falcosidekick:2801/"
   

   Falco 構成を手動で管理する場合は、/etc/falco/falco.yaml を編集します。

   json_output: true
   json_include_output_property: true
   
   http_output:
   enabled: true
   url: "http://falcosidekick:2801/"
   

3. Falco Pod を再起動して構成を適用します。

   kubectl rollout restart daemonset/falco -n falco
   

Linux ホストで Falcosidekick を構成する

Falco を Linux ホスト（Kubernetes ではない）で実行している場合は、Falcosidekick を systemd サービスとしてデプロイします。

Falcosidekick バイナリをインストールする

1. 最新の Falcosidekick リリースをダウンロードします。

   FALCOSIDEKICK_VERSION="2.29.0"
   wget https://github.com/falcosecurity/falcosidekick/releases/download/${FALCOSIDEKICK_VERSION}/falcosidekick_${FALCOSIDEKICK_VERSION}_linux_amd64.tar.gz
   

2. バイナリを抽出してインストールします。

   sudo tar -C /usr/local/bin/ -xzf falcosidekick_${FALCOSIDEKICK_VERSION}_linux_amd64.tar.gz
   sudo chmod +x /usr/local/bin/falcosidekick
   

3. 構成ディレクトリを作成します。

   sudo mkdir -p /etc/falcosidekick
   

Falcosidekick を構成する

1. 構成ファイル /etc/falcosidekick/config.yaml を作成します。

   listenaddress: "0.0.0.0"
   listenport: 2801
   debug: false
   
   webhook:
     address: "<ENDPOINT_URL>?key=<API_KEY>"
     method: "POST"
     customHeaders: "X-Webhook-Access-Key:<SECRET_KEY>"
     minimumpriority: "warning"
     checkcert: true
   

   次のように置き換えます。

   • <ENDPOINT_URL>: Google SecOps フィード エンドポイント URL
   • <API_KEY>: Google Cloud API キー
   • <SECRET_KEY>: フィード作成時の Google SecOps 秘密鍵

2. systemd サービス ファイル /etc/systemd/system/falcosidekick.service を作成します。

   [Unit]
   Description=Falcosidekick
   After=network.target
   
   [Service]
   Type=simple
   User=root
   ExecStart=/usr/local/bin/falcosidekick --config-file=/etc/falcosidekick/config.yaml
   Restart=on-failure
   RestartSec=5s
   
   [Install]
   WantedBy=multi-user.target
   

3. Falcosidekick を有効にして起動します。

   sudo systemctl daemon-reload
   sudo systemctl enable falcosidekick
   sudo systemctl start falcosidekick
   

4. Falcosidekick が実行されていることを確認します。

   sudo systemctl status falcosidekick
   

アラートを Falcosidekick に送信するように Falco を構成する

1. Falco 構成ファイル /etc/falco/falco.yaml を編集します。

   json_output: true
   json_include_output_property: true
   
   http_output:
     enabled: true
     url: "http://localhost:2801/"
   

2. Falco を再起動します。

   sudo systemctl restart falco
   

インテグレーションを検証する

テストアラートをトリガーする

1. コンテナでシェルを実行して Falco ルールをトリガーします（Kubernetes を使用している場合）。

   kubectl run test-pod --image=nginx --restart=Never
   kubectl exec -it test-pod -- /bin/bash
   

   これにより、Falco ルール「コンテナ内のターミナルシェル」がトリガーされます。

2. Linux ホストの場合は、機密ファイルを読み取ってルールをトリガーします。

   cat /etc/shadow
   

   これにより、Falco ルール「Read sensitive file untrusted」がトリガーされます。

Falcosidekick のログを確認する

• Kubernetes Deployment の場合:

  kubectl logs -n falco -l app.kubernetes.io/name=falcosidekick --tail=50
  

  Webhook の配信が成功したことを示すログエントリを探します。

  2025-01-15T10:30:00Z [INFO] : Webhook - Post OK
  

• Linux ホストの場合:

  sudo journalctl -u falcosidekick -n 50
  

Google SecOps でイベントを確認する

1. [Google SecOps] > [検索] に移動します。

2. 検索クエリを実行します。

   metadata.log_type = "FALCO_IDS"
   

3. Falco イベントが検索結果に表示されることを確認します。

4. イベントに次のような想定されるフィールドが含まれていることを確認します。

   • rule - Falco ルール名
   • priority - アラートの優先度（緊急、アラート、重大、エラー、警告、通知、情報、デバッグ）
   • output - 人が読める形式のアラート メッセージ
   • source - イベントソース（syscall、k8s_audit）
   • hostname - イベントが発生したホスト
   • container_id - コンテナ ID（該当する場合）

優先度フィルタリング

Falcosidekick は、優先度によるイベントのフィルタリングをサポートしているため、ノイズを減らし、重要なアラートに集中できます。לֹ

優先度

Falco は、次の優先度レベル（高い順）を使用します。

優先度	説明	ユースケース
緊急	システムが使用できない	重大なセキュリティ インシデント
アラート	直ちに対応する必要があります	進行中の攻撃、権限昇格
Critical（致命的）	重大な状態	不正アクセス、マルウェアの実行
エラー	エラー条件	ポリシー違反、不審なアクティビティ
警告	警告条件	異常な動作、潜在的な脅威
通知	正常だが重要	構成の変更、監査イベント
情報	情報メッセージ	一般的なアクティビティ ロギング
Debug	デバッグレベルのメッセージ	トラブルシューティング、開発

最小優先度を構成する

優先度の高いアラートのみを Google SecOps に送信するには、minimumpriority パラメータを設定します。

• Helm デプロイの場合:

  helm upgrade falco falcosecurity/falco \
      --namespace falco \
      --reuse-values \
      --set falcosidekick.config.webhook.minimumpriority="error"
  

• Linux ホストの場合は、/etc/falcosidekick/config.yaml を編集します。

  webhook:
    minimumpriority: "error"
  

この構成では、優先度が error 以上のイベント（Error、Critical、Alert、Emergency）のみが Google SecOps に送信されます。

カスタム フィールド

Falcosidekick を使用すると、すべてのイベントにカスタム フィールドを追加して、Google SecOps でのコンテキストとフィルタリングを改善できます。

カスタム フィールドの追加

• Helm デプロイの場合:

  helm upgrade falco falcosecurity/falco \
      --namespace falco \
      --reuse-values \
      --set falcosidekick.config.customfields.environment="production" \
      --set falcosidekick.config.customfields.region="us-east-1" \
      --set falcosidekick.config.customfields.cluster="prod-cluster-01"
  

• Linux ホストの場合は、/etc/falcosidekick/config.yaml を編集します。

  customfields:
    environment: "production"
    region: "us-east-1"
    datacenter: "dc1"
  

これらのカスタム フィールドは、Google SecOps に送信されるすべての Falco イベントに追加され、複数の環境にわたるフィルタリングと関連付けが可能になります。

代替の取り込みパス

Webhook が推奨される方法ですが、Falcosidekick は特定のユースケース向けに代替の取り込みパスをサポートしています。

AWS S3 の取り込み

大量の環境やコンプライアンス要件がある場合は、Falcosidekick を構成してイベントを AWS S3 に書き込み、S3 から Google SecOps に取り込むことができます。

• S3 用に Falcosidekick を構成します。

  helm upgrade falco falcosecurity/falco \
      --namespace falco \
      --reuse-values \
      --set falcosidekick.config.aws.accesskeyid="<AWS_ACCESS_KEY>" \
      --set falcosidekick.config.aws.secretaccesskey="<AWS_SECRET_KEY>" \
      --set falcosidekick.config.aws.region="us-east-1" \
      --set falcosidekick.config.aws.s3.bucket="falco-events" \
      --set falcosidekick.config.aws.s3.prefix="runtime-security/"
  

  Falcosidekick は、次のパス構造で JSON 形式のイベントを S3 に書き込みます。

  s3://falco-events/runtime-security/YYYY-MM-DD/YYYY-MM-DDTHH:mm:ss.s+01:00.json
  

  次に、ソースタイプとして Amazon S3 V2 を使用して Google SecOps フィードを構成します。

GCP Cloud Storage の取り込み

GCP 環境の場合は、イベントを Google Cloud Storage に書き込むように Falcosidekick を構成します。

• GCS 用に Falcosidekick を構成します。

  1. ターゲット バケットに対する Storage オブジェクト管理者ロールを持つ GCP サービス アカウントを作成します。
  2. サービス アカウントの JSON キーファイルをダウンロードします。

  3. JSON キーを Base64 でエンコードします。

     cat service-account-key.json | base64 -w 0
     

  4. Falcosidekick を構成します。

     helm upgrade falco falcosecurity/falco \
         --namespace falco \
         --reuse-values \
         --set falcosidekick.config.gcp.credentials="<BASE64_ENCODED_KEY>" \
         --set falcosidekick.config.gcp.storage.bucket="falco-events" \
         --set falcosidekick.config.gcp.storage.prefix="runtime-security/"
     

     Falcosidekick は、次のパス構造でイベントを GCS に書き込みます。

     gs://falco-events/runtime-security/YYYY-MM-DD/YYYY-MM-DDTHH:mm:ss.s+01:00.json
     

  次に、ソースタイプとして Google Cloud Storage V2 を使用して Google SecOps フィードを構成します。

AWS Kinesis Firehose の取り込み

リアルタイムのストリーミング取り込みを行うには、Falcosidekick を構成して AWS Kinesis Firehose にイベントを送信します。

• Kinesis 用に Falcosidekick を構成する:

  helm upgrade falco falcosecurity/falco \
      --namespace falco \
      --reuse-values \
      --set falcosidekick.config.aws.accesskeyid="<AWS_ACCESS_KEY>" \
      --set falcosidekick.config.aws.secretaccesskey="<AWS_SECRET_KEY>" \
      --set falcosidekick.config.aws.region="us-east-1" \
      --set falcosidekick.config.aws.kinesis.streamname="falco-events-stream"
  

  次に、ソースタイプとして Amazon Kinesis Firehose を使用して Google SecOps フィードを構成します。

トラブルシューティング

Falcosidekick がイベントを受信しない

1. Falco が Falcosidekick にイベントを送信していることを確認します。

   kubectl logs -n falco -l app.kubernetes.io/name=falco --tail=50 | grep http_output
   

2. Falco の構成に HTTP 出力が含まれていることを確認します。

   kubectl get configmap -n falco falco -o yaml | grep -A 5 http_output
   

3. Falcosidekick がポート 2801 でリッスンしていることを確認します。

   kubectl get svc -n falco falcosidekick
   

Webhook 配信エラー

1. Falcosidekick ログで HTTP エラーを確認します。

   kubectl logs -n falco -l app.kubernetes.io/name=falcosidekick --tail=100 | grep -i error
   

2. 一般的なエラー:

   • 401 Unauthorized: API キーまたはシークレット キーが正しくありません。
   • 403 Forbidden: API キーが Google SecOps API に対して認可されていません。
   • SSL 証明書エラー: テスト用に checkcert: false を設定します（本番環境ではおすすめしません）。

3. Webhook を手動でテストする:

   curl -X POST \
       -H "Content-Type: application/json" \
       -H "X-Webhook-Access-Key: <SECRET_KEY>" \
       -d '{"test": "event"}' \
       "<ENDPOINT_URL>?key=<API_KEY>"
   

Google SecOps にイベントが表示されない

1. フィードが有効であることを確認します。

   • [SIEM 設定] > [フィード] に移動します。
   • フィードのステータスが [有効] であることを確認します。
   • [Last Ingestion Time] が最近であることを確認します。

2. 取り込みエラーを確認します。

   • フィードの詳細ページに移動します。
   • [エラー] タブをクリックします。
   • 解析エラーまたは検証エラーを確認します。

3. ログタイプ マッピングを確認します。

   • 未加工ログを検索します。metadata.log_type = "FALCO_IDS"
   • イベントが表示されてもフィールドが解析されない場合は、UDM マッピングを確認します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
output_fields.k8s.ns.name、output_fields.k8s.pod.name	additional.fields	k8_ns_name オブジェクトと k8s_pod_name オブジェクトから統合
stageTimestamp	metadata.collected_timestamp	ISO8601 形式を使用して変換
stage、description、output	metadata.description	ステージの値（空でない場合）、説明、出力の順
verb、user.uid、uid、output	metadata.event_type	GET LIST WATCH の動詞の場合は USER_RESOURCE_ACCESS、CREATE で（user.uid または uid が空でない）場合は USER_RESOURCE_CREATION、（PATCH または UPDATE）で user.uid が空でない場合は USER_RESOURCE_UPDATE_CONTENT、DELETE の場合は USER_RESOURCE_DELETION、出力にエラーが含まれている場合は USER_RESOURCE_ACCESS、それ以外の場合は USER_UNCATEGORIZED、それ以外の場合は GENERIC_EVENT に設定します。
kind	metadata.product_event_type	値が直接コピーされる
auditID	metadata.product_log_id	値を直接コピーする
apiVersion、product_version	metadata.product_version	apiVersion の値（空でない場合）。それ以外の場合は product_version（引用符を削除した後）
portdetails.name	network.application_protocol	大文字で、HTTP HTTPS DNS の場合は値に設定、それ以外の場合は UNKNOWN_APPLICATION_PROTOCOL
動詞	network.http.method	値を大文字に変換して直接コピー
responseStatus.code	network.http.response_code	整数に変換され、直接コピーされます
userAgent	network.http.user_agent	値が直接コピーされる
portdetails.protocol	network.ip_protocol	値が直接コピーされる
output_fields.cloud-project-id	observer.cloud.project.id	値が直接コピーされる
output_fields.pod-name、output_fields.falco.pod.name	observer.hostname	output_fields.pod-name が空でない場合はその値、それ以外の場合は output_fields.falco.pod.name
output_fields.pod-ip、output_fields.falco.pod.ip	observer.ip	output_fields.pod-ip の値（空でない場合）。空の場合は output_fields.falco.pod.ip
output_fields.falco.host.name	principal.asset.hostname	値が直接コピーされる
sourceIPs、output_fields.falco.host.ip	principal.asset.ip	空でない場合は sourceIPs の各 IP から、空の場合は output_fields.falco.host.ip からマージされます。
output_fields.falco.host.name	principal.hostname	値が直接コピーされる
sourceIPs, output_fields.falco.host.ip	principal.ip	空でない場合は sourceIPs の各 IP から、空の場合は output_fields.falco.host.ip からマージされます。
output_fields.falco.contact	principal.user.email_addresses	値を直接コピーする
user.groups	principal.user.group_identifiers	配列 user.groups から統合されました
user.username、output_fields.user.name	principal.user.user_display_name	空でない場合は user.username の値。それ以外の場合は output_fields.user.name
user.uid, uid	principal.user.userid	user.uid が空でない場合はその値、それ以外の場合は uid（引用符を削除した後）
annotations.authorization.k8s.io/decision	security_result.action	許可する場合は ALLOW に設定します。
annotations.authorization.k8s.io/reason	security_result.description	値が直接コピーされ、引用符が削除される
ルール	security_result.rule_name	値を直接コピーする
priority	security_result.severity_details	値が直接コピーされる
containerid.containerID, output_fields.container.id	target.asset.asset_id	containerid.containerID の値（空でない場合）。空の場合は「container_id:」+ output_fields.container.id
	target.asset.deployment_status	実行中または待機中の場合は ACTIVE、終了した場合は DECOMISSIONED、それ以外の場合は DEPLOYMENT_STATUS_UNSPECIFIED に設定します。
address.nodeName、output_fields.host-name、tar_host	target.asset.hostname	address.nodeName の値（空でない場合）、それ以外の場合は output_fields.host-name、それ以外の場合は出力の Grok からの tar_host
address.ip、podip.ip、requestObject.status.podIP、requestObject.status.hostIP、output_fields.host-ip、tar_ip	target.asset.ip	responseObject.subsets.addresses の address.ip、requestObject.status.podIPs の podip.ip、requestObject.status.podIP、requestObject.status.hostIP、output_fields.host-ip、または出力の grok からの tar_ip からマージされました
output_fields.email	target.email	メールアドレスの正規表現と一致する場合は、値が直接コピーされる
containerStatuse.imageID、containerStatuse.image、output_fields.container.image.repository	target.file.full_path	containerStatuse.imageID の値（空でなく、file.full_path が空の場合）。それ以外の場合は、containerStatuse.image の値（空でなく、file.full_path が空の場合）。それ以外の場合は、output_fields.container.image.repository
address.nodeName、output_fields.host-name、tar_host	target.hostname	address.nodeName の値（空でない場合）。空の場合は output_fields.host-name。それ以外の場合は、出力の grok からの tar_host
address.ip、podip.ip、requestObject.status.podIP、requestObject.status.hostIP、output_fields.host-ip、tar_ip	target.ip	responseObject.subsets.addresses の address.ip、requestObject.status.podIPs の podip.ip、requestObject.status.podIP、requestObject.status.hostIP、output_fields.host-ip、または出力の grok の tar_ip からマージされます。
targetnamespace	target.namespace	値が直接コピーされる
portdetails.port	target.port	整数に変換され、最初のポートに直接コピーされます
output_fields.cloud-provider	target.resource.attribute.cloud.environment	GCP の場合は GOOGLE_CLOUD_PLATFORM、Azure の場合は MICROSOFT_AZURE に設定します。
requestObject.status.containerStatuses.0.state.waiting.reason, output_fields.evt.arg.fd, output_fields.evt.arg.filename, output_fields.evt.arg.mode, output_fields.fd.name, output_fields.ol-env, output_fields.tags, output_fields.proc.cmdline, output_fields.ebpf_enabled	target.resource.attribute.labels	さまざまなラベル オブジェクトから統合された
address.targetRef.uid	target.resource.id	address.targetRef.uid の値（空でなく、resource_id が空の場合）
address.targetRef.name, objectRef.name, output_fields.bl-ssr	target.resource.name	address.targetRef.name の値（空でなく、resource_name が空の場合）。それ以外の場合は objectRef.name の値（空でなく、resource_name が空の場合）。それ以外の場合は output_fields.bl-ssr の値（空でなく、resource_name が空の場合）。
output_fields.falco.ssrid	target.resource.product_object_id	値が直接コピーされる
address.targetRef.kind, objectRef.resource	target.resource.resource_subtype	address.targetRef.kind の値（空でなく、target_resource_subtype が空の場合）。それ以外の場合は、objectRef.resource の値（空でなく、target_resource_subtype が空の場合）。
resource_type	target.resource.resource_type	空の場合は CLUSTER に設定し、それ以外の場合は直接コピーされます
requestURI	target.url	値が直接コピーされる
responseObject.spec.group	target.user.group_identifiers	配列 responseObject.spec.group から統合されました
responseObject.spec.user	target.user.user_display_name	値を直接コピーする
responseObject.metadata.uid、responseObject.spec.uid、objectRef.uid、requestObject.metadata.uid、output_fields.user.loginuid	target.user.userid	responseObject.metadata.uid（空でない場合）、responseObject.spec.uid、objectRef.uid、requestObject.metadata.uid、output_fields.user.loginuid（文字列に変換）のいずれかの値
	metadata.product_name	「FALCO_IDS」に設定します。
	metadata.vendor_name	「FALCO_IDS」に設定します。
priority	security_result.priority	変更履歴からマッピング
time	date	変更履歴からマッピング
output_fields.tags	target.labels	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。