Raccogli gli audit log di GitHub
Versione parser: 23.0
Supportato in:
Google SecOps
SIEM
Questo documento spiega come importare i log di controllo di GitHub in Google Security Operations. Puoi configurare l'importazione utilizzando uno dei seguenti metodi:
- Google Cloud Storage V2 (consigliato): trasmetti in streaming i log di controllo da GitHub Enterprise Cloud direttamente a un bucket GCS, quindi importali in Google SecOps.
- Webhook: configura GitHub per inviare i payload degli eventi direttamente a un endpoint webhook di Google SecOps in tempo reale.
GitHub è una piattaforma basata su cloud per il controllo delle versioni e la collaborazione che consente agli sviluppatori di archiviare e gestire il codice, monitorare le modifiche e collaborare a progetti software. GitHub Enterprise Cloud fornisce funzionalità di sicurezza di livello enterprise, tra cui lo streaming dei log di controllo per la conformità e il monitoraggio della sicurezza.
Prima di iniziare
Assicurati di soddisfare i seguenti prerequisiti:
Un'istanza Google SecOps
Un account GitHub Enterprise Cloud con autorizzazioni di proprietario dell'azienda (per lo streaming GCS) o di proprietario dell'organizzazione (per i webhook)
Per il metodo GCS, devi anche:
- Un progetto cloud Google Cloud con l'API Storage Cloud Storage abilitata
- Autorizzazioni per creare e gestire bucket GCS
- Autorizzazioni per creare service account e gestire le policy IAM
Per il metodo webhook, ti servono anche:
- Accesso alla Google Cloud Console (per la creazione della chiave API)
- Autorizzazioni di amministratore del repository o proprietario dell'organizzazione in GitHub
Opzione 1: configura l'importazione utilizzando Google Cloud Storage V2 (consigliata)
Crea un bucket Google Cloud Storage
- Vai alla console Google Cloud.
- Seleziona il tuo progetto o creane uno nuovo.
- Nel menu di navigazione, vai a Cloud Storage > Bucket.
- Fai clic su Crea bucket.
Fornisci i seguenti dettagli di configurazione:
Impostazione Valore Assegna un nome al bucket Inserisci un nome univoco globale (ad esempio github-audit-logs).Tipo di località Scegli in base alle tue esigenze (regione singola, a due regioni, multiregionale) Località Seleziona la località (ad esempio us-central1)Classe di archiviazione Standard (consigliato per i log a cui si accede di frequente) Controllo dell'accesso Uniforme (consigliato) Strumenti di protezione (Facoltativo) Abilita il controllo delle versioni degli oggetti o la policy di conservazione Fai clic su Crea.
Crea un account di servizio per lo streaming dei log di controllo di GitHub
GitHub richiede un account di servizio Google Cloud con una chiave JSON per autenticare e scrivere gli audit log nel tuo bucket GCS.
- Nella console Google Cloud, vai a IAM e amministrazione > Service account.
- Fai clic su Crea account di servizio.
- Fornisci i seguenti dettagli di configurazione:
- Nome service account: inserisci un nome descrittivo (ad esempio,
github-audit-streaming). - Descrizione service account: inserisci
Service account for GitHub Enterprise Cloud audit log streaming to GCS
- Nome service account: inserisci un nome descrittivo (ad esempio,
- Fai clic su Crea e continua.
Fai clic su Fine.
Concedi al account di servizio l'accesso in scrittura al bucket GCS
- Vai a Cloud Storage > Bucket.
- Fai clic sul nome del bucket (ad esempio
github-audit-logs). - Vai alla scheda Autorizzazioni.
- Fai clic su Concedi l'accesso.
- Fornisci i seguenti dettagli di configurazione:
- Aggiungi entità: inserisci l'email del account di servizio (ad esempio,
github-audit-streaming@PROJECT_ID.iam.gserviceaccount.com). - Assegna i ruoli: seleziona Storage Object Creator.
- Aggiungi entità: inserisci l'email del account di servizio (ad esempio,
- Fai clic su Salva.
Crea una chiave JSON per il account di servizio
- Nella console Google Cloud, vai a IAM e amministrazione > Service account.
- Fai clic sul account di servizio (ad esempio
github-audit-streaming). - Vai alla scheda Chiavi.
- Fai clic su Aggiungi chiave > Crea nuova chiave.
- Seleziona JSON come tipo di chiave.
- Fai clic su Crea.
Un file della chiave JSON viene scaricato sul computer. Salva questo file in modo sicuro.
Configura lo streaming dei log di controllo di GitHub Enterprise Cloud in GCS
- Accedi a GitHub Enterprise Cloud come proprietario dell'organizzazione.
- Nell'angolo in alto a destra, fai clic sulla tua foto del profilo, quindi su Impostazioni aziendali (oppure fai clic su Aziende e poi sull'azienda che vuoi visualizzare).
- Nella parte superiore della pagina, fai clic su Impostazioni.
- Nella sezione Impostazioni, fai clic su Log di controllo.
- In Log di controllo, fai clic su Streaming dei log.
- Seleziona il menu a discesa Configura stream e fai clic su Google Cloud Storage.
- Fornisci i seguenti dettagli di configurazione:
- Bucket: inserisci il nome del bucket GCS (ad esempio,
github-audit-logs). - Credenziali JSON: incolla l'intero contenuto del file della chiave JSON del account di servizio.
- Bucket: inserisci il nome del bucket GCS (ad esempio,
- Fai clic su Controlla endpoint per verificare che GitHub possa connettersi e scrivere nel bucket Google Cloud Storage.
Dopo aver verificato l'endpoint, fai clic su Salva.
Recuperare il account di servizio Google SecOps
Google SecOps utilizza un account di servizio univoco per leggere i dati dal tuo bucket GCS. Devi concedere a questo account di servizio l'accesso al tuo bucket.
Recupera l'indirizzo email del account di servizio
- Vai a Impostazioni SIEM > Feed.
- Fai clic su Aggiungi nuovo feed di notizie.
- Fai clic su Configura un singolo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad esempio,
GitHub audit logs). - Seleziona Google Cloud Storage V2 come Tipo di origine.
- Seleziona GitHub come Tipo di log.
- Fai clic su Ottieni service account.
Verrà visualizzato un indirizzo email univoco del account di servizio, ad esempio:
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.comCopia questo indirizzo email per utilizzarlo nel passaggio successivo.
Fai clic su Avanti.
Specifica i valori per i seguenti parametri di input:
URL bucket di archiviazione: inserisci l'URI del bucket GCS:
gs://github-audit-logs/
Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:
- Mai: non elimina mai i file dopo i trasferimenti (opzione consigliata per i test).
- Elimina file trasferiti: elimina i file dopo il trasferimento riuscito.
Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.
Età massima dei file: includi i file modificati negli ultimi giorni (il valore predefinito è 180 giorni)
Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
Etichette di importazione: l'etichetta da applicare agli eventi di questo feed
Fai clic su Avanti.
Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Concedi le autorizzazioni IAM al account di servizio Google SecOps
- Vai a Cloud Storage > Bucket.
- Fai clic sul nome del bucket (
github-audit-logs). - Vai alla scheda Autorizzazioni.
- Fai clic su Concedi l'accesso.
- Fornisci i seguenti dettagli di configurazione:
- Aggiungi entità: incolla l'email dell'account di servizio Google SecOps
- Assegna ruoli:
- Storage Object Viewer (
roles/storage.objectViewer) - Assegna uno dei seguenti ruoli a seconda dell'opzione di eliminazione dell'origine selezionata:
- Se è selezionato Mai: Storage Legacy Bucket Reader
(
roles/storage.legacyBucketReader) - Se è selezionata l'opzione Elimina i file trasferiti o Elimina i file trasferiti e le directory vuote: Storage Legacy Bucket Writer (
roles/storage.legacyBucketWriter)
- Se è selezionato Mai: Storage Legacy Bucket Reader
(
- Storage Object Viewer (
- Fai clic su Salva.
Opzione 2: configura l'importazione utilizzando il webhook
Crea un feed webhook in Google SecOps
Creare il feed
- Vai a Impostazioni SIEM > Feed.
- Fai clic su Aggiungi nuovo feed.
- Nella pagina successiva, fai clic su Configura un singolo feed.
- Nel campo Nome feed, inserisci un nome per il feed (ad esempio,
GitHub webhook events). - Seleziona Webhook come Tipo di origine.
- Seleziona GitHub come Tipo di log.
- Fai clic su Avanti.
- Specifica i valori per i seguenti parametri di input:
- Delimitatore di divisione (facoltativo): inserisci
\nse GitHub invia più eventi per richiesta o lascia vuoto per i payload a evento singolo - Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
- Etichette di importazione: l'etichetta da applicare agli eventi di questo feed
- Delimitatore di divisione (facoltativo): inserisci
- Fai clic su Avanti.
- Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.
Genera e salva la chiave segreta
Dopo aver creato il feed, devi generare una chiave segreta per l'autenticazione:
- Nella pagina dei dettagli del feed, fai clic su Genera chiave segreta.
- Una finestra di dialogo mostra la chiave segreta.
- Copia e salva la chiave segreta in modo sicuro.
Recuperare l'URL dell'endpoint del feed
- Vai alla scheda Dettagli del feed.
- Nella sezione Endpoint Information (Informazioni sull'endpoint), copia l'URL dell'endpoint del feed.
Il formato dell'URL è:
https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreateSalva questo URL per i passaggi successivi.
Fai clic su Fine.
Creare una chiave API Google Cloud
- Google SecOps richiede una chiave API per l'autenticazione. Crea una chiave API con limitazioni nella Google Cloud Console.
Crea la chiave API
- Vai alla pagina Credenziali della console Google Cloud.
- Seleziona il tuo progetto (quello associato alla tua istanza Google SecOps).
- Fai clic su Crea credenziali > Chiave API.
- Viene creata una chiave API e visualizzata in una finestra di dialogo.
- Fai clic su Modifica chiave API per limitare la chiave.
Limita la chiave API
- Nella pagina delle impostazioni Chiave API:
- Nome: inserisci un nome descrittivo (ad esempio,
Chronicle Webhook API Key)
- Nome: inserisci un nome descrittivo (ad esempio,
- In Restrizioni API:
- Seleziona Limita chiave.
- Nel menu a discesa Seleziona API, cerca e seleziona API Google SecOps (o API Chronicle).
- Fai clic su Salva.
- Copia il valore della chiave API dal campo Chiave API nella parte superiore della pagina.
Salva la chiave API in modo sicuro.
Crea l'URL webhook
Combina l'URL dell'endpoint Google SecOps e la chiave API:
<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>Esempio:
https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...&secret=abcd1234...
Configura il webhook dell'organizzazione GitHub
- Accedi a GitHub e vai alla tua organizzazione.
- Fai clic su Impostazioni.
- Nella barra laterale a sinistra, fai clic su Webhook.
- Fai clic su Aggiungi webhook.
- Fornisci i seguenti dettagli di configurazione:
- URL payload: incolla l'URL webhook completo creato nel passaggio precedente (URL endpoint con chiave API e chiave segreta aggiunte come parametri di ricerca)
- Tipo di contenuti: seleziona application/json
- Secret (Secret): lascia vuoto (l'autenticazione viene gestita tramite i parametri URL)
- Nella sezione Quali eventi vuoi che attivino questo webhook?:
- Seleziona Fammi selezionare i singoli eventi.
- Seleziona gli eventi che vuoi inviare a Google SecOps. Gli eventi consigliati per il monitoraggio della sicurezza includono:
- Creazione di branch o tag
- Eliminazione di rami o tag
- Collaboratore aggiunto, rimosso o modificato
- Chiavi di deployment
- Deployment
- Forcelle
- Membro
- Abbonamenti
- Organizzazioni
- Richieste di pull
- Revisioni delle richieste di pull
- Push
- Uscite
- Repository
- Avvisi di scansione dei segreti
- Avvisi di sicurezza
- Teams
- Modifiche alla visibilità
- Seleziona la casella di controllo Attivo per attivare il webhook.
- Fai clic su Aggiungi webhook.
GitHub invia un evento di test
ping. Verifica che il webhook mostri un segno di spunta verde che indica la pubblicazione riuscita.
Tipi di evento
La tabella seguente elenca i tipi di eventi e le relative condizioni:
| event_type | Condizioni |
|---|---|
NETWORK_CONNECTION |
[has_target] == "true" && [has_principal] == "true" |
PROCESS_LAUNCH |
[has_principal] == "true" && [has_target_process] == "true" |
STATUS_UPDATE |
[has_principal] == "true" |
USER_LOGIN |
[raw][message] =~ "Authentication success" or [message] =~ "Authentication success" && ([has_target]== "true" || [has_target_user] == "true") |
USER_RESOURCE_CREATION |
[has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["personal_access_token.create" ,"repository_vulnerability_alert.create"] |
USER_RESOURCE_DELETION |
[has_target_resource] == "true" && [has_principal_user] == "true" && [action] in ["hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"] |
USER_RESOURCE_DELETION |
[has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"] |
USER_RESOURCE_UPDATE_CONTENT |
[has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "pull_request.merge" , "hook.events_changed"] |
USER_RESOURCE_UPDATE_PERMISSIONS |
[has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["repo.update_actions_secret","protected_branch.update_pull_request_reviews_enforcement_level", "org.update_member" ,"protected_branch.update_admin_enforced" ,"protected_branch.update_required_status_checks_enforcement_level","org.integration_manager_removed" ,"repo.update_member", "repo.add_member"] |
USER_UNCATEGORIZED |
[has_principal_userid] == "true" |
Tabella di mappatura UDM
| Campo log | Mappatura UDM | Logica |
|---|---|---|
invitee |
event.idm.read_only_udm.target.user.userid |
Mappato dal log delle modifiche |
inviter |
event.idm.read_only_udm.src.user.userid |
Mappato dal log delle modifiche |
pull_request.user.login |
event.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
pull_request.user.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mappato dal log delle modifiche |
sender.login |
event.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
sender.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mappato dal log delle modifiche |
sender.node_id |
event.idm.read_only_udm.principal.asset_id e event.idm.read_only_udm.principal.asset.asset_id |
Mappato dal log delle modifiche |
sender.url |
event.idm.read_only_udm.principal.url |
Mappato dal log delle modifiche |
repository.custom_properties.criticality |
event.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
host.name |
event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname |
Mappato dal log delle modifiche |
host |
event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname |
Mappato dal log delle modifiche |
logData.Level |
event.idm.read_only_udm.security_result.severity |
Mappato dal log delle modifiche |
logData.Level |
event.idm.read_only_udm.security_result.severity_details |
Mappato dal log delle modifiche |
logData.Method |
event.idm.read_only_udm.target.resource.name |
Mappato dal log delle modifiche |
logData.IdentityName |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mappato dal log delle modifiche |
logData.IPAddress |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mappato dal log delle modifiche |
logData.IdentityName |
event.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
logData.Username |
event.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
logData.HostId |
event.idm.read_only_udm.principal.asset.asset_id |
Mappato dal log delle modifiche |
logData.ServiceHost |
event.idm.read_only_udm.principal.asset.asset_id |
Mappato dal log delle modifiche |
logData.TenantId |
event.idm.read_only_udm.metadata.product_deployment_id |
Mappato dal log delle modifiche |
logData.AuthenticationMechanism |
event.idm.read_only_udm.extensions.auth.auth_details |
Mappato dal log delle modifiche |
logData.HttpRequestHost |
event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip |
Mappato dal log delle modifiche |
logData.HttpRequestHost |
event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname |
Mappato dal log delle modifiche |
logData.HttpRemotePort |
event.idm.read_only_udm.principal.port |
Mappato dal log delle modifiche |
logData.Command |
event.idm.read_only_udm.security_result.description |
Mappato dal log delle modifiche |
logData.HttpRequestMethod |
event.idm.read_only_udm.network.http.method |
Mappato dal log delle modifiche |
logData.ResponseCode |
event.idm.read_only_udm.network.http.response_code |
Mappato dal log delle modifiche |
logData.Status |
event.idm.read_only_udm.security_result.action_details |
Mappato dal log delle modifiche |
logData.PersistentSessionId |
event.idm.read_only_udm.network.session_id |
Mappato dal log delle modifiche |
logData.ActivityId |
event.idm.read_only_udm.metadata.product_log_id |
Mappato dal log delle modifiche |
logData.HttpRequestProtocol |
event.idm.read_only_udm.network.application_protocol |
Mappato dal log delle modifiche |
logData.HttpRequestProtocol |
event.idm.read_only_udm.network.application_protocol_version |
Mappato dal log delle modifiche |
logData.UserAgent |
event.idm.read_only_udm.network.http.user_agent |
Mappato dal log delle modifiche |
logData.UserAgent |
event.idm.read_only_udm.network.http.parsed_user_agent |
Mappato dal log delle modifiche |
logData.Referrer |
event.idm.read_only_udm.network.http.referral_url |
Mappato dal log delle modifiche |
logData.Application |
event.idm.read_only_udm.principal.application |
Mappato dal log delle modifiche |
logData.UriStem |
event.idm.read_only_udm.target.url |
Mappato dal log delle modifiche |
logData.CUID |
event.idm.read_only_udm.principal.user.product_object_id |
Mappato dal log delle modifiche |
logData |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AadExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AadExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AadGraphExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AadGraphExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AadTokenExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AadTokenExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ActivityStatus |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AfdRefInfo |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AnonymousIdentifier |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ApplicationHash |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Area |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
AuthorizationId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
BlobStorageExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
BlobStorageExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
CPUCycles |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
CPUExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
CPUTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
CommandHash |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
CommandIdentifier |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ConcurrencySemaphoreTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ContextId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ControllerTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
CurrentAuthenticationSessionId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
DelayTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
E2EID |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ElapsedTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ExceptionMessage |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ExceptionType |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ExecutionTimeThreshold |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Feature |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
FinalSqlCommandExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HostStartTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HostType |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HttpRequestTransferEncoding |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HttpResponseArrProxyTarget |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HttpResponseCacheControl |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HttpResponseContentEncoding |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
HttpUriQuery |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
IsExceptionExpected |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Layer |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
LogicalReads |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Message |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
MethodInformationTimeout |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
OrchestrationId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ParentHostId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Path |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
PendingAuthenticationSessionId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
PhysicalReads |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
PostControllerTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
PreControllerTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
PreciseTimeStamp |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ProcessName |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ProviderId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
QueueTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
RedisExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
RedisExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
RelatedActivityId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Service |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ServiceBusExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ServiceBusExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SqlExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SqlExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SqlReadOnlyExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SqlReadOnlyExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SqlRetryExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SqlRetryExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
StartTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
SupportsPublicAccess |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
TSTUs |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
TableStorageExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
TableStorageExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
ThrottleReason |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
TimeToFirstPage |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
TraceId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Tracepoint |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
UniqueIdentifier |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
Uri |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
UserDefined |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
VSID |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
VssClientExecutionCount |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
VssClientExecutionTime |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.email |
event.idm.read_only_udm.target.user.email_addresses |
Mappato dal log delle modifiche |
invitation.created_at |
event.idm.read_only_udm.metadata.event_timestamp |
Mappato dal log delle modifiche |
invitation.id |
event.idm.read_only_udm.metadata.product_log_id |
Mappato dal log delle modifiche |
invitation.invitation_teams_url |
event.idm.read_only_udm.target.url |
Mappato dal log delle modifiche |
invitation.role |
event.idm.read_only_udm.target.user.attribute.roles |
Mappato dal log delle modifiche |
invitation.inviter.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mappato dal log delle modifiche |
invitation.inviter.login |
event.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
invitation.inviter.html_url |
event.idm.read_only_udm.principal.url |
Mappato dal log delle modifiche |
invitation.login |
event.idm.read_only_udm.target.user.userid |
Mappato dal log delle modifiche |
invitation.inviter.url |
event.idm.read_only_udm.principal.user.attribute.labels |
Mappato dal log delle modifiche |
invitation.inviter.avatar_url |
event.idm.read_only_udm.principal.user.attribute.labels |
Mappato dal log delle modifiche |
invitation.inviter.type |
event.idm.read_only_udm.principal.user.attribute.labels |
Mappato dal log delle modifiche |
organization.url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.invitation_source |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.team_count |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.node_id |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.failed_at |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.failed_reason |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.avatar_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.type |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.events_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.followers_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.following_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.gists_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.gravatar_id |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.node_id |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.organizations_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.received_events_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.repos_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.site_admin |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.starred_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.subscriptions_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
invitation.inviter.user_view_type |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
commit_message |
event.idm.read_only_udm.metadata.description |
Mappato dal log delle modifiche |
sender.type |
event.idm.read_only_udm.src.user.title |
Mappato dal log delle modifiche |
sha |
event.idm.read_only_udm.target.file.sha1 |
Mappato dal log delle modifiche |
target_url |
event.idm.read_only_udm.target.url |
Mappato dal log delle modifiche |
description |
event.idm.read_only_udm.security_result.description |
Mappato dal log delle modifiche |
avatar_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
context |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
commit_node_id |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
commit_committer_name |
event.id.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
state |
event.idm.read_only_udm.security_result.action_details |
Mappato dal log delle modifiche |
commit_committer_name |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
commit_committer_email |
event.idm.read_only_udm.principal.email |
Mappato dal log delle modifiche |
commit_tree_sha |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
comment_count |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
reason |
event.idm.read_only_udm.security_result.summary |
Mappato dal log delle modifiche |
commit_url |
event.idm.read_only_udm.principal.url |
Mappato dal log delle modifiche |
comments_url |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
commit_user_name |
event.idm.read_only_udm.principal.user.user_display_name |
Mappato dal log delle modifiche |
commit_user_id |
event.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
principal.assetid |
event.idm.read_only_udm.principal.asset_id |
Mappato dal log delle modifiche |
sender_login |
event.idm.read_only_udm.src.user.user_display_name |
Mappato dal log delle modifiche |
sender_id |
event.idm.read_only_udm.src.user.product_object_id |
Mappato dal log delle modifiche |
sender_assetid |
event.idm.read_only_udm.src.asset_id |
Mappato dal log delle modifiche |
sender_url |
event.idm.read_only_udm.src.url |
Mappato dal log delle modifiche |
alert.created_at |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.html_url |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.locations_url |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.multi_repo |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.number |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.publicly_leaked |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.push_protection_bypassed |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.secret_type |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.secret_type_display_name |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.updated_at |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
alert.validity |
event.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
repository_selection", "user_programmatic_access_name", and "permissions_added.* |
additional.fields |
Mappato dal log delle modifiche |
external_identity_nameid |
principal.user.userid |
Mappato dal log delle modifiche |
actor_id |
principal.user.userid |
Mappato dal log delle modifiche |
new_repo_permission", "user", and "actor |
additional.fields |
Mappato dal log delle modifiche |
secret_type_display_name |
additional.fields |
Mappato dal log delle modifiche |
user_id |
target.user.userid |
Mappato dal log delle modifiche |
push_protection_bypass_reason |
security_result.detection_fields |
Mappato dal log delle modifiche |
actor |
principal.resource.attribute.labels |
Mappato dal log delle modifiche |
pull_request_url |
target.url |
Mappato dal log delle modifiche |
pull_request_title", "pull_request_id" ,and "previous_visibility |
additional.fields |
Mappato dal log delle modifiche |
explanation |
additional.fields |
Mappato dal log delle modifiche |
invitee_email" and "email |
additional.fields |
Mappato dal log delle modifiche |
required_status_checks_enforcement_level", "events_were" and "old_permission |
additional.fields |
Mappato dal log delle modifiche |
name", "manager", "pull_request_reviews_enforcement_level", "hook_id", "events", "config_was", "key", "fingerprint", "permission", and "title |
additional.fields |
Mappato dal log delle modifiche |
security_result.action |
ALLOW |
Mappato dal log delle modifiche |
security_result.action |
BLOCK |
Mappato dal log delle modifiche |
user |
target.user.user_display_name |
Mappato dal log delle modifiche |
referrer |
network.http.referral_url |
Mappato dal log delle modifiche |
user_session_id |
network.session_id |
Mappato dal log delle modifiche |
ip |
principal.ip |
Mappato dal log delle modifiche |
from |
additional.fields |
Mappato dal log delle modifiche |
request_category |
additional.fields |
Mappato dal log delle modifiche |
device_cookie |
additional.fields |
Mappato dal log delle modifiche |
operation_type |
additional.fields |
Mappato dal log delle modifiche |
category_type |
additional.fields |
Mappato dal log delle modifiche |
note |
additional.fields |
Mappato dal log delle modifiche |
read |
additional.fields |
Mappato dal log delle modifiche |
pre_perform_allocation_count |
additional.fields |
Mappato dal log delle modifiche |
backend |
additional.fields |
Mappato dal log delle modifiche |
queue |
additional.fields |
Mappato dal log delle modifiche |
class |
additional.fields |
Mappato dal log delle modifiche |
success |
additional.fields |
Mappato dal log delle modifiche |
controller_action |
security_result.detection_fields |
Mappato dal log delle modifiche |
two_factor |
security_result.detection_fields |
Mappato dal log delle modifiche |
user_agent |
network.http.user_agent |
Mappato dal log delle modifiche |
request_method |
network.http.method |
Mappato dal log delle modifiche |
application_name |
target.application |
Mappato dal log delle modifiche |
status_code |
network.http.response_code |
Mappato dal log delle modifiche |
url_path |
target.url |
Mappato dal log delle modifiche |
user_id |
target.userid |
Mappato dal log delle modifiche |
transport_protocol_name |
network.application_protocol |
Mappato dal log delle modifiche |
raw.now |
metadata.event_timestamp |
Mappato dal log delle modifiche |
raw.ip |
principal.ip |
Mappato dal log delle modifiche |
raw.request_id |
metadata.product_log_id |
Mappato dal log delle modifiche |
raw.repo |
target.url |
Mappato dal log delle modifiche |
raw.action |
security_result.summary |
Mappato dal log delle modifiche |
raw.protocol |
network.application_protocol |
Mappato dal log delle modifiche |
raw.message |
metadata.description |
Mappato dal log delle modifiche |
raw.at |
security_result.action |
Mappato dal log delle modifiche |
raw.login |
target.user_display_name |
Mappato dal log delle modifiche |
raw.user_id |
target.userid |
Mappato dal log delle modifiche |
raw.failure_reason", "raw.failure_type", "raw.raw_login" and "raw.from |
additional.fields |
Mappato dal log delle modifiche |
workflow_run.id |
target.resource.attribute.labels |
Mappato dal log delle modifiche |
workflow_run.event |
additional.fields |
Mappato dal log delle modifiche |
workflow_run.actor.login |
principal.user.userid |
Mappato dal log delle modifiche |
workflow_run.head_branch |
security_result.about.labels |
Mappato dal log delle modifiche |
workflow_run.head_sha |
target.file.sha256 |
Mappato dal log delle modifiche |
enterprise.name |
additional.fields |
Mappato dal log delle modifiche |
workflow.name |
security_result.about.labels |
Mappato dal log delle modifiche |
workflow_run.workflow_id |
security_result.about.labels |
Mappato dal log delle modifiche |
external_identity_nameid |
target.user.email_addresses |
Mappato dal log delle modifiche |
external_identity_nameid |
target.user.userid |
Mappato dal log delle modifiche |
config.url |
target.url |
Mappato dal log delle modifiche |
| Campo log | mappatura UDM | Note |
|---|---|---|
above_lock_quota |
additional.fields |
|
above_warn_quota |
additional.fields |
|
ac_ms |
additional.fields |
|
accept |
additional.fields |
|
action |
metadata.product_event_type |
Per i log JSON. |
action |
security_result.summary |
Per i log syslog. |
active |
target.resource.attribute.labels |
|
active_job_id |
additional.fields |
|
actor |
principal.user.userid |
|
actor_id |
principal.user.attribute.labels.value |
|
actor_ip |
principal.ip |
|
actor_is_agent |
additional.fields |
|
actor_is_bot |
principal.user.attribute.labels |
|
actor_location.country_code |
principal.location.country_or_region |
|
actor_session |
additional.fields |
|
additional_list |
additional.fields |
|
additional_string |
additional.fields |
|
after |
additional.fields |
|
alert_id |
security_result.detection_fields |
|
alert_number |
security_result.detection_fields |
|
alert_numbers |
additional.fields |
|
allow_deletions_enforcement_level |
additional.fields |
|
allow_force_pushes_enforcement_level |
additional.fields |
|
allow_private_repository_forking |
additional.fields |
|
application_name |
target.application |
|
aqueduct_job_id |
additional.fields |
|
auth_tries |
additional.fields |
|
babeld |
additional.fields |
|
banner |
additional.fields |
|
before |
additional.fields |
|
best_cipher |
additional.fields |
|
best_kex |
additional.fields |
|
best_mac |
additional.fields |
|
best_sigtype |
additional.fields |
|
Body |
security_result.description |
|
branch |
target.resource.attribute.labels |
|
branches |
target.resource.attribute.labels |
|
business |
additional.fields |
|
business_id |
additional.fields |
|
cactive |
additional.fields |
|
calling_workflow_refs |
target.resource.attribute.labels |
|
calling_workflow_shas |
target.resource.attribute.labels |
|
changes.body.from |
additional.fields |
|
charset |
additional.fields |
|
check_run.app |
additional.fields |
|
check_run.app.events |
additional.fields |
|
check_run.app.owner |
additional.fields |
|
check_run.check_suite.app.client_id |
additional.fields |
|
check_run.check_suite.app.created_at |
additional.fields |
|
check_run.check_suite.app.description |
additional.fields |
|
check_run.check_suite.app.events |
additional.fields |
|
check_run.check_suite.app.external_url |
additional.fields |
|
check_run.check_suite.app.html_url |
additional.fields |
|
check_run.check_suite.app.id |
additional.fields |
|
check_run.check_suite.app.name |
additional.fields |
|
check_run.check_suite.app.node_id |
additional.fields |
|
check_run.check_suite.app.slug |
additional.fields |
|
check_run.check_suite.app.updated_at |
additional.fields |
|
check_run.check_suite.conclusion |
additional.fields |
|
check_run.check_suite.id |
additional.fields |
|
check_run.check_suite.url |
additional.fields |
|
check_run.completed_at |
additional.fields |
|
check_run.conclusion |
additional.fields |
|
check_run.output |
additional.fields |
|
check_run.started_at |
additional.fields |
|
check_suite (tutti i relativi campi secondari) |
additional.fields |
|
check_suite.app (tutti i relativi campi secondari) |
additional.fields |
|
check_suite.app.events |
additional.fields |
|
check_suite.app.owner (tutti i relativi campi secondari) |
additional.fields |
|
check_suite.head_commit (tutti i relativi campi secondari) |
additional.fields |
|
cid |
additional.fields |
|
cipher |
network.tls.cipher |
|
client_id |
principal.user.attribute.labels |
|
cloning |
additional.fields |
|
code |
additional.fields |
|
CodeNamespace |
additional.fields |
|
comment (tutti i relativi campi secondari) |
additional.fields |
|
comment.performed_via_github_app (tutti i relativi campi secondari) |
additional.fields |
|
comment.performed_via_github_app.events |
additional.fields |
|
comment.reactions (tutti i relativi campi secondari) |
additional.fields |
|
commit.author |
principal.resource.attribute.labels |
|
commit.commit.author.date |
additional.fields |
|
commit.commit.author.email |
additional.fields |
|
commit.commit.author.name |
additional.fields |
|
commit.commit.tree.url |
additional.fields |
|
commit.commit.verification |
additional.fields |
|
commit.committer |
additional.fields |
|
commit.parents |
additional.fields |
|
commit.sha |
additional.fields |
|
commit.url |
additional.fields |
|
commit_oid |
additional.fields |
|
committer_date |
additional.fields |
|
completed_at |
vulns.vulnerabilities.scan_end_time |
|
config.content_typt |
target.resource.attribute.labels |
|
config.insecure_ssl |
target.resource.attribute.labels |
|
config.secret |
target.resource.attribute.labels |
|
config.url |
target.url |
|
considers.site.admin |
additional.fields |
|
content_type |
target.file.mime_type |
|
cr |
additional.fields |
|
create_protected |
additional.fields |
|
created_at |
metadata.event_timestamp |
Il valore viene convertito da millisecondi UNIX a un timestamp. |
credential |
detection_fields |
|
ctotal |
additional.fields |
|
data._document_id |
metadata.product_log_id |
|
data.active_job_id |
additional.fields |
|
data.aqueduct_job_id |
additional.fields |
|
data.business |
target.administrative_domain |
|
data.business_id |
additional.fields |
|
data.cancelled_at |
extensions.vulns.vulnerabilities.scan_end_time |
Il valore viene convertito dal formato ISO8601 a un timestamp. |
data.category_type |
security_result.category_details |
|
data.dn |
additional.fields |
|
data.email |
target.user.email_addresses |
|
data.entry_found |
additional.fields |
|
data.event |
target.resource.attribute.labels |
|
data.events |
security_result.about.labels.value |
|
data.head_branch |
target.resource.attribute.labels |
|
data.head_sha |
target.file.sha256 |
|
data.hook_id |
target.resource.product_object_id |
|
data.job |
target.application |
|
data.operation_type |
additional.fields |
|
data.started_at |
extensions.vulns.vulnerabilities.scan_start_time |
Il valore viene convertito dal formato ISO8601 a un timestamp. |
data.team |
target.group.group_display_name |
|
data.trigger_id |
target.resource.attribute.labels |
|
data.uid |
additional.fields |
|
data.workflow_id |
target.resource.attribute.labels |
|
data.workflow_run_id |
target.resource.attribute.labels |
|
default_new_repo_branch |
additional.fields |
|
default_repo_visibility |
additional.fields |
|
default_repository_permission |
additional.fields |
|
degraded |
additional.fields |
|
dependency_scope |
additional.fields |
|
deployment.environment |
additional.fields |
|
disable_members_can_create_repositories |
additional.fields |
|
disable_members_can_delete_repositories |
additional.fields |
|
disable_user_org_creation |
additional.fields |
|
disk_info |
additional.fields |
|
disk_py_file |
additional.fields |
|
dismiss_stale_reviews_on_push |
additional.fields |
|
dotcom_contributions |
additional.fields |
|
dotcom_user_license_usage_upload |
additional.fields |
|
duration_ms |
additional.fields |
|
ecosystem |
additional.fields |
|
enforcement_level |
additional.fields |
|
enterprise |
principal.resource.attribute.labels |
|
enterprise.name |
additional.fields.value.string_value |
|
environment_name |
target.resource.attribute.labels |
|
error |
additional.fields |
|
external_id |
additional.fields |
|
external_identity_nameid |
target.user.email_addresses |
Se il valore è un indirizzo email, viene aggiunto all'array target.user.email_addresses. |
external_identity_nameid |
target.user.userid |
|
external_identity_username |
additional.fields |
Mappato a additional.fields quando non è compilato in target.user.user_display_name. |
external_identity_username |
target.user.user_display_name |
Viene mappato quando viene compilato in target.user.user_display_name. |
features |
additional.fields |
|
filtered |
additional.fields |
|
filtered_request_body.query |
additional.fields |
|
fluentbit_pod_name |
additional.fields |
|
fp_sha256 |
additional.fields |
|
frontend |
additional.fields |
|
frontend_pid |
intermediary.process.pid |
|
frontend_ppid |
intermediary.process.parent_process.pid |
|
fs_host |
target.hostname |
|
fsc_ms |
additional.fields |
|
fully_qualified_domain_name |
additional.fields |
|
gh.sdk.name |
additional.fields |
|
gh.sdk.version |
additional.fields |
|
gh.timerd.timer.name |
additional.fields |
|
ghsa_id |
additional.fields |
|
git.maxobjectsize |
additional.fields |
|
git_dir_safe |
target.resource.attribute.labels |
|
github_event_after |
target.resource.attribute.labels |
|
github_event_before |
target.resource.attribute.labels |
|
github_event_compare |
target.resource.attribute.labels |
|
github_event_created |
target.resource.attribute.labels |
|
github_event_deleted |
target.resource.attribute.labels |
|
github_event_forced |
target.resource.attribute.labels |
|
github_event_head_commit_author_email |
target.resource.attribute.labels |
|
github_event_head_commit_author_name |
target.resource.attribute.labels |
|
github_event_head_commit_author_username |
target.resource.attribute.labels |
|
github_event_head_commit_committer_email |
target.resource.attribute.labels |
|
github_event_head_commit_committer_name |
target.resource.attribute.labels |
|
github_event_head_commit_committer_username |
target.resource.attribute.labels |
|
github_event_head_commit_distinct |
target.resource.attribute.labels |
|
github_event_head_commit_msg1 |
target.resource.attribute.labels |
|
github_event_head_commit_timestamp |
target.resource.attribute.labels |
|
github_event_pusher_email |
target.resource.attribute.labels |
|
github_event_pusher_name |
target.resource.attribute.labels |
|
github_event_ref |
target.resource.attribute.labels |
|
github_event_repository_has_projects |
target.resource.attributes.labels |
|
github_event_repository_master_branch |
target.resource.attribute.labels |
|
github_event_repository_organization |
target.resource.attribute.labels |
|
github_event_repository_owner_name |
target.resource.attribute.labels |
|
github_event_repository_stargazers |
target.resource.attribute.labels |
|
github_event_workflow_job_completed_at |
target.resource.attributes.labels |
|
gpv |
additional.fields |
|
handler_code |
additional.fields |
|
hashed_token |
network.session_id |
|
head_branch |
target.resource.attribute.labels |
|
head_sha |
target.file.sha256 |
|
healthy |
additional.fields |
|
hmac |
additional.fields |
|
hook_id |
target.resource.attribute.labels |
|
host.name |
principal.user.attribute.labels |
|
http_version |
network.application_protocol_version |
|
id |
metadata.product_log_id |
|
ignore_approvals_from_contributors |
additional.fields |
|
imode |
additional.fields |
|
imperfect |
additional.fields |
|
InstrumentationScope |
additional.fields |
|
integration_id |
additional.fields |
|
intel.flat |
additional.fields |
|
is_hosted_runner |
target.resource.attribute.labels |
|
issue (tutti i relativi campi secondari) |
additional.fields |
|
issue.pull_request (tutti i relativi campi secondari) |
additional.fields |
|
job_name |
target.resource.attribute.labels.value |
|
job_workflow_ref |
target.resource.attribute.labels.value |
|
job_workflow_sha |
target.resource.attribute.labels.value |
|
kafka_cluster |
additional.fields |
|
kex |
additional.fields |
|
keytype |
additional.fields |
|
kubernetes.container_image |
principal.resource.attribute.labels |
|
kubernetes.container_name |
principal.resource.attribute.labels |
|
kubernetes.host |
principal.resource.attribute.labels |
|
kubernetes.labels.app |
principal.resource.attribute.labels |
|
kubernetes.labels.chart |
principal.resource.attribute.labels |
|
kubernetes.labels.component |
principal.resource.attribute.labels |
|
kubernetes.labels.heritage |
principal.resource.attribute.labels |
|
kubernetes.labels.pod-template-hash |
principal.resource.attribute.labels |
|
kubernetes.labels.release |
principal.resource.attribute.labels |
|
kubernetes.labels.system |
principal.resource.attribute.labels |
|
kubernetes.namespace_name |
principal.resource.attribute.labels |
|
kubernetes.pod_ip |
principal.ip, principal.asset.ip |
|
kubernetes.pod_name |
principal.resource.attribute.labels |
|
last_state_change_at |
additional.fields |
|
last_state_change_reason |
additional.fields |
|
lat |
principal.location.region_coordinates.latitude |
|
ldap.debug_logging_enabled |
additional.fields |
|
level |
security_result.severity |
|
lfs_auth_scope |
additional.fields |
|
lfs_deploy_key_header |
additional.fields |
|
lfs_verify_reason |
additional.fields |
|
linear_history_requirement_enforcement_level |
additional.fields |
|
lock_allows_fetch_and_merge |
additional.fields |
|
lock_branch_enforcement_level |
additional.fields |
|
log_level |
security_result.severity |
|
log_source |
additional.fields |
|
log_source_file |
target.file.full_path |
|
logData.Count |
additional.fields |
|
logData.Metrics.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
logType |
additional.fields |
|
lon |
principal.location.region_coordinates.longitude |
|
loop |
additional.fields |
|
matched_policies |
security_result.detection_fields |
|
member |
target.user.attribute.labels |
|
merge_queue_enforcement_level |
additional.fields |
|
method |
additional.fields |
|
multi_repo |
security_result.detection_fields |
|
mysql_component |
additional.fields |
|
mysql_warning_code |
additional.fields |
|
name |
target.resource.attribute.labels |
|
non_integer_id |
additional.fields |
|
ns |
additional.fields |
|
number |
additional.fields |
|
oauth_application |
principal.application |
|
oauth_application_id |
principal.resource.attribute.labels |
|
oauth_party |
additional.fields |
|
offset |
additional.fields |
|
old_permissions |
additional.fields |
|
old_repo_permissions |
additional.fields |
|
org |
target.administrative_domain |
|
org_id |
additional.fields.value.string_value |
|
organization.url |
additional.fields |
|
original_user_agent |
additional.fields |
|
overridden_codes |
additional.fields |
|
owner |
principal.user.user_display_name |
|
owner_id |
principal.user.userid |
|
package |
additional.fields |
|
package_name |
target.application |
|
parent |
additional.fields |
|
parent_installation_id |
additional.fields |
|
partition |
additional.fields |
|
path_info |
additional.fields |
Questa è la mappatura quando il percorso viene già mappato su target.file.full_path. |
path_info |
target.file.full_path |
Questa è la mappatura quando il percorso non è già mappato a target.file.full_path. |
pgroup |
additional.fields |
|
pk_ms |
additional.fields |
|
prin_ip |
principal.ip, principal.asset.ip |
|
prin_port |
principal.port |
|
prin_usr |
principal.user.userid |
|
pro_pid |
target.process.pid |
|
probe_fail |
additional.fields |
|
probe_ok |
additional.fields |
|
programmatic_access_type |
additional.fields.value.string_value |
|
pubkey_creator_id |
additional.fields |
|
pubkey_creator_login |
additional.fields |
|
pubkey_fingerprint |
additional.fields |
|
pubkey_id |
additional.fields |
|
pubkey_verifier_id |
additional.fields |
|
pubkey_verifier_login |
additional.fields |
|
public_repo |
additional.fields.value.string_value |
|
public_repo |
target.location.name |
|
publicly_leaked |
security_result.detection_fields |
|
pull_request.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request._links.comments.href |
additional.fields |
|
pull_request._links.commits.href |
additional.fields |
|
pull_request._links.html.href |
additional.fields |
|
pull_request._links.issue.href |
additional.fields |
|
pull_request._links.review_comment.href |
additional.fields |
|
pull_request._links.review_comments.href |
additional.fields |
|
pull_request._links.self.href |
additional.fields |
|
pull_request._links.statuses.href |
additional.fields |
|
pull_request.base.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.base.repo.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.base.repo.owner.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.head.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.head.owner.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.head.repo.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.head.user.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.requested_reviewers.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.requested_teams.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
pull_request.user. (e tutti i relativi campi secondari, ad eccezione di login) |
principal.user.attribute.labels |
|
pull_request.user.login |
principal.user.user_display_name |
|
pull_request_id |
target.resource.attribute.labels |
|
pull_request_title |
target.resource.attribute.labels |
|
query_string |
additional.fields.value.string_value |
|
queue_duration |
additional.fields |
|
quotas_enabled |
additional.fields |
|
rate_limit |
additional.fields |
|
rate_limit_family |
additional.fields |
|
rate_limit_key |
additional.fields |
|
rate_limit_remaining |
additional.fields.value.string_value |
|
rate_limit_reset |
additional.fields |
|
rate_limit_used |
additional.fields |
|
raw.at |
additional.fields |
|
raw.hashed_token |
network.session_id |
|
raw.token_type |
additional.fields |
|
raw.url |
target.url |
|
raw.user_agent |
network.http.user_agent, network.http.parsed_user_agent |
|
raw_login |
additional.fields |
|
read_only |
additional.fields |
|
readonly |
additional.fields |
|
reasons |
additional.fields |
|
ref |
target.resource.attribute.labels |
|
replicas |
additional.fields |
|
repo |
target.resource.name |
|
repo_id |
additional.fields.value.string_value |
|
repo_owner_login |
target.resource.attribute.labels |
|
repo_owner_type |
target.resource.attribute.labels |
|
repo_public |
additional.fields |
|
repository |
target.resource.attribute.labels |
|
repository.archive_url |
target.resource.attribute.labels |
|
repository.assignees_url |
target.resource.attribute.labels |
|
repository.blobs_url |
target.resource.attribute.labels |
|
repository.branches_url |
target.resource.attribute.labels |
|
repository.clone_url |
target.resource.attribute.labels |
|
repository.collaborators_url |
target.resource.attribute.labels |
|
repository.comments_url |
target.resource.attribute.labels |
|
repository.commits_url |
target.resource.attribute.labels |
|
repository.compare_url |
target.resource.attribute.labels |
|
repository.contents_url |
target.resource.attribute.labels |
|
repository.contributors_url |
target.resource.attribute.labels |
|
repository.created_at |
target.resource.attribute.labels |
|
repository.custom_properties. (e tutti i relativi campi secondari) |
target.resource.attribute.labels |
|
repository.deployments_url |
target.resource.attribute.labels |
|
repository.downloads_url |
target.resource.attribute.labels |
|
repository.events_url |
target.resource.attribute.labels |
|
repository.fork |
target.resource.attribute.labels |
|
repository.forks_url |
target.resource.attribute.labels |
|
repository.full_name |
target.resource.attribute.labels |
|
repository.git_commits_url |
target.resource.attribute.labels |
|
repository.git_refs_url |
target.resource.attribute.labels |
|
repository.git_tags_url |
target.resource.attribute.labels |
|
repository.git_url |
target.resource.attribute.labels |
|
repository.homepage |
target.resource.attributes.labels |
|
repository.hooks_url |
target.resource.attribute.labels |
|
repository.html_url |
target.resource.attribute.labels |
|
repository.id |
target.resource.attribute.labels |
|
repository.issue_comment_url |
target.resource.attribute.labels |
|
repository.issue_events_url |
target.resource.attribute.labels |
|
repository.issues_url |
target.resource.attribute.labels |
|
repository.keys_url |
target.resource.attribute.labels |
|
repository.labels_url |
target.resource.attribute.labels |
|
repository.languages_url |
target.resource.attribute.labels |
|
repository.license |
target.resource.attributes.labels |
|
repository.merges_url |
target.resource.attribute.labels |
|
repository.milestones_url |
target.resource.attribute.labels |
|
repository.mirror_url |
target.resource.attributes.labels |
|
repository.name |
target.resource.attribute.labels |
|
repository.node_id |
target.resource.attribute.labels |
|
repository.notifications_url |
target.resource.attribute.labels |
|
repository.open_issues_count |
target.resource.attribute.labels |
|
repository.owner.avatar_url |
target.resource.attribute.labels |
|
repository.owner.events_url |
target.resource.attribute.labels |
|
repository.owner.followers_url |
target.resource.attribute.labels |
|
repository.owner.following_url |
target.resource.attribute.labels |
|
repository.owner.gists_url |
target.resource.attribute.labels |
|
repository.owner.gravatar_id |
target.resource.attribute.labels |
|
repository.owner.html_url |
target.resource.attribute.labels |
|
repository.owner.id |
target.resource.attribute.labels |
|
repository.owner.node_id |
target.resource.attribute.labels |
|
repository.owner.organizations_url |
target.resource.attribute.labels |
|
repository.owner.received_events_url |
target.resource.attribute.labels |
|
repository.owner.repos_url |
target.resource.attribute.labels |
|
repository.owner.site_admin |
target.resource.attribute.labels |
|
repository.owner.starred_url |
target.resource.attribute.labels |
|
repository.owner.subscriptions_url |
target.resource.attribute.labels |
|
repository.owner.type |
target.resource.attribute.labels |
|
repository.owner.url |
target.resource.attribute.labels |
|
repository.owner.user_view_type |
target.resource.attribute.labels |
|
repository.private |
target.resource.attribute.labels |
|
repository.pulls_url |
target.resource.attribute.labels |
|
repository.pushed_at |
target.resource.attribute.labels |
|
repository.releases_url |
target.resource.attribute.labels |
|
repository.size |
target.resource.attribute.labels |
|
repository.ssh_url |
target.resource.attribute.labels |
|
repository.stargazers_url |
target.resource.attribute.labels |
|
repository.statuses_url |
target.resource.attribute.labels |
|
repository.subscribers_url |
target.resource.attribute.labels |
|
repository.subscription_url |
target.resource.attribute.labels |
|
repository.svn_url |
target.resource.attribute.labels |
|
repository.tags_url |
target.resource.attribute.labels |
|
repository.teams_url |
target.resource.attribute.labels |
|
repository.topics |
target.resource.attributes.labels |
|
repository.trees_url |
target.resource.attribute.labels |
|
repository.updated_at |
target.resource.attribute.labels |
|
repository.url |
target.resource.attribute.labels |
|
repository.visibility |
target.resource.attribute.labels |
|
repository_public |
target.resource.attribute.labels |
|
req_content_type |
target.file.mime_type |
|
request_access_security_header |
security_result.detection_fields |
|
request_auth |
additional.fields |
|
request_body |
additional.fields.value.string_value |
|
request_duration |
additional.fields |
|
request_host |
principal.ip, principal.asset.ip |
Quando è presente un indirizzo IP, il mapping viene eseguito su principal.ip (mantenendo il mapping esistente di principal.hostname). |
request_method |
network.http.method |
Il valore viene convertito in maiuscolo. |
requested_reviewers.* |
additional.fields |
L'asterisco (*) indica che sono inclusi tutti i campi secondari. |
require_code_owner_review |
additional.fields |
|
require_last_push_approval |
additional.fields |
|
required_approving_review_count |
additional.fields |
|
required_deployments_enforcement_level |
additional.fields |
|
required_review_thread_resolution_enforcement_level |
additional.fields |
|
rerun_type |
additional.fields |
|
res_type |
target.resource.resource_subtype |
|
response_time |
additional.fields |
|
review_id |
target.resource.attributes.labels |
|
route |
additional.fields.value.string_value |
|
rpc.jsonrpc.error_code |
network.http.response_code |
|
rpc.jsonrpc.error_message |
security_result.summary |
|
rule_suite_id |
security_result.rule_id |
|
run_attempt |
additional.fields |
|
run_number |
additional.fields |
|
runner_labels |
target.resource.attribute.labels |
|
runner_owner_type |
target.resource.attribute.labels |
|
runner_tenant_id |
target.resource.attribute.labels |
|
s3_tag |
additional.fields |
|
secret_type |
security_result.detection_fields |
|
secret_types |
security_result.detection_fields |
|
secrets_passed |
security_result.detection_fields |
|
sender.id |
src.user.product_object_id |
|
sender.login |
src.user.user_display_name |
|
sender.node_id |
src.asset_id |
|
sender.type |
src.user.title |
|
sender.url |
src.url |
|
service |
target.resource.name |
|
service.version |
additional.fields |
|
serviceName |
target.resource.name |
|
severity (se elevata) |
security_result.severity |
|
SeverityText |
security_result.severity |
|
shallow |
additional.fields |
|
sign_in_verification_method |
security_result.detection_fields |
|
signature_requirement_enforcement_level |
additional.fields |
|
sigtype |
additional.fields |
|
source |
src.resource.name |
|
spec |
additional.fields |
|
sr |
additional.fields |
|
ss |
additional.fields |
|
started_at |
vulns.vulnerabilities.scan_start_time |
|
stateless |
additional.fields |
|
status_code |
network.http.response_code |
|
strict_required_status_checks_policy |
additional.fields |
|
subject.business.id |
target.resource.attribute.labels |
|
subject.owner.id |
additional.fields |
|
subject.owning_organization.id |
principal.group.product_object_id |
|
subject.repository.id |
target.resource.product_object_id |
|
subject.repository.internal |
target.resource.attribute.labels |
|
subject.repository.owner.id |
additional.fields |
|
subject.repository.public |
target.resource.attribute.labels |
|
subject.repository.writable |
target.resource.attribute.labels |
|
subject.type |
target.resource.attribute.labels |
|
synthetic_status |
additional.fields |
|
tar_application |
target.application |
|
telemetry.sdk.name |
additional.fields |
|
tenant_id |
target.resource.attribute.labels |
|
tid |
additional.fields |
|
time |
metadata.event_timestamp |
|
time_duration_ms |
additional.fields |
|
time_zone |
additional.fields |
|
timestamp |
metadata.event_timestamp |
|
tls_version |
network.tls.version |
|
token_id |
additional.fields.value.string_value |
|
token_scopes |
additional.fields.value.string_value |
|
topic |
additional.fields |
|
total |
additional.fields |
|
transport_protocol |
additional.fields |
|
transport_protocol_name |
network.application_protocol |
Il valore viene convertito in maiuscolo. |
ts |
metadata.event_timestamp |
Quando il valore del campo process_type è github_production. |
TTY |
additional.fields |
|
twirp_method |
additional.fields |
|
twirp_package |
additional.fields |
|
twirp_service |
additional.fields |
|
twirp_status |
network.http.response_code |
|
two_factor_type |
security_result.detection_fields |
|
type |
additional.fields |
|
unavailable |
additional.fields |
|
updated_at |
metadata.collected_timestamp |
|
url_path |
target.url |
|
usage_metrics |
additional.fields |
|
user |
target.user.userid |
|
user.id |
target.user.attr.labels |
Quando è presente actor.id. |
user.id |
target.user.userid |
Quando actor.id non è presente. |
user_agent |
network.http.parsed_user_agent |
Il valore viene analizzato. |
user_agent |
network.http.user_agent |
|
user_id |
target.user.userid |
|
user_operator_mode |
additional.fields |
|
user_programmatic_access_id |
additional.fields |
|
user_renaming_enabled |
additional.fields |
|
user_spammy |
additional.fields |
|
version |
metadata.product_version |
Questa mappatura include i log JSON. |
visibility |
additional.fields |
|
vk_ms |
additional.fields |
|
vulnerability_id |
additional.fields |
|
vulnerable_version_range_id |
additional.fields |
|
workflow |
target.resource.attributes.labels |
|
workflow.name |
target.resource.attribute.labels |
|
workflow_id |
target.resource.attribute.labels |
|
workflow_job.head_branch |
security_result.detection_fields |
|
workflow_job.name |
target.resource.attributes.labels |
|
workflow_job.workflow_name |
security_result.detection_fields |
|
workflow_run.actor. (e tutti i relativi campi secondari, ad eccezione del campo login, incluso in ogni campo secondario) |
principal.user.attribute.labels |
|
workflow_run.actor.login |
principal.user.userid |
|
workflow_run.artifacts_url |
target.resource.attributes.labels |
|
workflow_run.cancel_url |
target.resource.attributes.labels |
|
workflow_run.check_suite_id |
additional.fields |
|
workflow_run.check_suite_node_id |
additional.fields |
|
workflow_run.check_suite_url |
target.resource.attributes.labels |
|
workflow_run.conclusion |
target.resource.attribute.labels |
|
workflow_run.created_at |
metadata.event_timestamp |
|
workflow_run.display_title |
target.resource.attribute.labels |
|
workflow_run.event |
additional.fields.value.string_value |
|
workflow_run.event |
target.resource.attribute.labels |
|
workflow_run.head_branch |
target.resource.attribute.labels |
|
workflow_run.head_commit |
target.resource.attributes.labels |
|
workflow_run.head_repository |
additional.fields |
|
workflow_run.head_sha |
target.file.sha256 |
|
workflow_run.html_url |
target.resource.attribute.labels |
|
workflow_run.id |
target.resource.attribute.labels.value |
|
workflow_run.jobs_url |
target.resource.attributes.labels |
|
workflow_run.logs_url |
target.resource.attributes.labels |
|
workflow_run.name |
target.resource.name |
|
workflow_run.node_id |
target.resource.product_object_id |
|
workflow_run.path |
target.resource.attribute.labels |
|
workflow_run.previous_attempt_url |
target.resource.attributes.labels |
|
workflow_run.pull_requests |
about.resource.attribute.labels |
|
workflow_run.repository |
additional.fields |
|
workflow_run.rerun_url |
target.resource.attributes.labels |
|
workflow_run.run_attempt |
target.resource.attribute.labels |
|
workflow_run.run_number |
target.resource.attribute.labels |
|
workflow_run.run_started_at |
target.resource.attribute.labels |
|
workflow_run.status |
security_result.description |
|
workflow_run.triggering_actor |
additional.fields |
|
workflow_run.updated_at |
metadata.collected_timestamp |
|
workflow_run.url |
target.url |
|
workflow_run.workflow_id |
security_result.about.labels.value |
|
workflow_run.workflow_id |
target.resource.attribute.labels |
|
workflow_run.workflow_url |
target.resource.attributes.labels |
Riferimento per i delta delle release
L'8 gennaio 2026, Google SecOps ha rilasciato una nuova versione del parser GitHub, che include modifiche significative.
Differenza tra le mappature dei campi dei log
La tabella seguente elenca le differenze di mappatura per i campi di log-to-UDM di GitHub esposti prima dell'8 gennaio 2026 e successivamente (elencati rispettivamente nelle colonne Mappatura precedente e Mappatura attuale):
| Campo log | Mappatura precedente | Mappatura attuale |
|---|---|---|
action (per i log JSON) |
metadata.product_event_type, security_result.summary,security_result.detection_fields |
metadata.product_event_type |
action (per i log syslog) |
additional.fields, security_result.summary |
security_result.summary |
business |
additional.fields, target.user.company_name |
additional.fields |
business_id |
target.resource.attribute.labels |
additional.fields |
data.email |
target.email |
target.user.email_addresses |
data.event |
security_result.about.labels |
target.resource.attribute.labels |
data.head_branch |
security_result.about.labels |
target.resource.attribute.labels |
data.hook_id |
target.resource.attribute.labels |
target.resource.product_object_id |
data.team |
target.user.group_identifiers |
target.group.group_display_name |
data.trigger_id |
security_result.about.labels |
target.resource.attribute.labels |
data.workflow_id |
security_result.about.labels |
target.resource.attribute.labels |
data.workflow_run_id |
security_result.about.labels |
target.resource.attribute.labels |
hashed_token |
additional.fields |
network.session_id |
hook_id (per i log JSON) |
additional.fields |
target.resource.attribute.labels |
name |
additional.fields |
target.resource.attribute.labels |
oauth_application_id |
additional.fields |
principal.resource.attribute.labels |
pull_request_id |
additional.fields |
target.resource.attribute.labels |
pull_request_title |
additional.fields |
target.resource.attribute.labels |
repository.archive_url |
additional.fields |
target.resource.attribute.labels |
repository.assignees_url |
additional.fields |
target.resource.attribute.labels |
repository.blobs_url |
additional.fields |
target.resource.attribute.labels |
repository.branches_url |
additional.fields |
target.resource.attribute.labels |
repository.clone_url |
additional.fields |
target.resource.attribute.labels |
repository.collaborators_url |
additional.fields |
target.resource.attribute.labels |
repository.comments_url |
additional.fields |
target.resource.attribute.labels |
repository.commits_url |
additional.fields |
target.resource.attribute.labels |
repository.compare_url |
additional.fields |
target.resource.attribute.labels |
repository.contents_url |
additional.fields |
target.resource.attribute.labels |
repository.contributors_url |
additional.fields |
target.resource.attribute.labels |
repository.created_at |
additional.fields |
target.resource.attribute.labels |
repository.deployments_url |
additional.fields |
target.resource.attribute.labels |
repository.downloads_url |
additional.fields |
target.resource.attribute.labels |
repository.events_url |
additional.fields |
target.resource.attribute.labels |
repository.fork |
additional.fields |
target.resource.attribute.labels |
repository.forks_url |
additional.fields |
target.resource.attribute.labels |
repository.full_name |
additional.fields |
target.resource.attribute.labels |
repository.git_commits_url |
additional.fields |
target.resource.attribute.labels |
repository.git_refs_url |
additional.fields |
target.resource.attribute.labels |
repository.git_tags_url |
additional.fields |
target.resource.attribute.labels |
repository.git_url |
additional.fields |
target.resource.attribute.labels |
repository.hooks_url |
additional.fields |
target.resource.attribute.labels |
repository.html_url |
additional.fields |
target.resource.attribute.labels |
repository.id |
additional |
target.resource.attribute.labels |
repository.issue_comment_url |
additional.fields |
target.resource.attribute.labels |
repository.issue_events_url |
additional.fields |
target.resource.attribute.labels |
repository.issues_url |
additional.fields |
target.resource.attribute.labels |
repository.keys_url |
additional.fields |
target.resource.attribute.labels |
repository.labels_url |
additional.fields |
target.resource.attribute.labels |
repository.languages_url |
additional.fields |
target.resource.attribute.labels |
repository.merges_url |
additional.fields |
target.resource.attribute.labels |
repository.milestones_url |
additional.fields |
target.resource.attribute.labels |
repository.name |
additional.fields |
target.resource.attribute.labels |
repository.node_id |
additional.fields |
target.resource.attribute.labels |
repository.notifications_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.avatar_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.events_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.followers_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.following_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.gists_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.gravatar_id |
additional.fields |
target.resource.attribute.labels |
repository.owner.html_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.id |
additional.fields |
target.resource.attribute.labels |
repository.owner.node_id |
additional.fields |
target.resource.attribute.labels |
repository.owner.organizations_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.received_events_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.repos_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.site_admin |
additional.fields |
target.resource.attribute.labels |
repository.owner.starred_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.subscriptions_url |
additional.fields |
target.resource.attribute.labels |
repository.owner.type |
additional.fields |
target.resource.attribute.labels |
repository.owner.url |
additional.fields |
target.resource.attribute.labels |
repository.owner.user_view_type |
additional.fields |
target.resource.attribute.labels |
repository.private |
additional.fields |
target.resource.attribute.labels |
repository.pulls_url |
additional.fields |
target.resource.attribute.labels |
repository.pushed_at |
additional.fields |
target.resource.attribute.labels |
repository.releases_url |
additional.fields |
target.resource.attribute.labels |
repository.size |
additional.fields |
target.resource.attribute.labels |
repository.ssh_url |
additional.fields |
target.resource.attribute.labels |
repository.stargazers_url |
additional.fields |
target.resource.attribute.labels |
repository.statuses_url |
additional.fields |
target.resource.attribute.labels |
repository.subscribers_url |
additional.fields |
target.resource.attribute.labels |
repository.subscription_url |
additional.fields |
target.resource.attribute.labels |
repository.svn_url |
additional.fields |
target.resource.attribute.labels |
repository.tags_url |
additional.fields |
target.resource.attribute.labels |
repository.teams_url |
additional.fields |
target.resource.attribute.labels |
repository.trees_url |
additional.fields |
target.resource.attribute.labels |
repository.updated_at |
additional.fields |
target.resource.attribute.labels |
repository.url |
additional.fields |
target.resource.attribute.labels |
repository.visibility |
additional.fields |
target.resource.attribute.labels |
repository_public |
additional.fields |
target.resource.attribute.labels |
res_type |
target.resource.type |
target.resource.resource_subtype |
sender.id |
src.user.product_object_id, additional.fields |
src.user.product_object_id |
sender.login |
additional.fields, src.user.user_display_name |
src.user.user_display_name |
sender.node_id |
src.asset_id, additional.fields |
src.asset_id |
sender.type |
src.user.title, additional.fields |
src.user.title |
sender.url |
src.url, additional.fields |
src.url |
workflow.name |
security_result.about.labels |
target.resource.attribute.labels |
workflow_job.head_branch |
security_result.about.labels |
security_result.detection_fields |
workflow_job.workflow_name |
security_result.about.labels |
security_result.detection_fields |
workflow_run.event |
additional.fields |
target.resource.attribute.labels |
workflow_run.head_branch |
security_result.about.labels |
target.resource.attribute.labels |
workflow_run.workflow_id |
security_result.about.labels |
target.resource.attribute.labels |
Delta delle condizioni del tipo di evento
Le condizioni che determinano i tipi di eventi di Google SecOps sono state modificate nella release dell'8 gennaio 2026.
La tabella seguente elenca i tipi di eventi e le condizioni attuali (ovvero le condizioni erano diverse prima della release dell'8 gennaio 2026):
| event_type | Condizioni |
|---|---|
NETWORK_CONNECTION |
[has_target] == "true" && [has_principal] == "true" |
STATUS_UPDATE |
[has_principal] == "true" |
USER_RESOURCE_DELETION |
[has_target_resource] == "true" && [has_principal_user] == "true" && [action] in ["hook.destroy" ,"protected_branch.destroy" ,"public_key.delete"] |
USER_RESOURCE_UPDATE_CONTENT |
[has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in [ "pull_request.merge" , "hook.events_changed"] |
USER_RESOURCE_UPDATE_PERMISSIONS |
[has_target_resource] == "true" && [has_principal_userid] == "true" && [action] in ["repo.update_actions_secret","protected_branch.update_pull_request_reviews_enforcement_level", "org.update_member" ,"protected_branch.update_admin_enforced" ,"protected_branch.update_required_status_checks_enforcement_level","org.integration_manager_removed" ,"repo.update_member", "repo.add_member"] |
Differenze tra le mappature dei tasti
La tabella seguente elenca le differenze di mappatura per le chiavi nei campi dei log non elaborati e le chiavi nei campi UDM esposti prima dell'8 gennaio 2026 e successivamente (elencate rispettivamente nelle colonne Chiave precedente e Chiave attuale):
| Chiave nel log non elaborato | Chiave precedente | Chiave attuale |
|---|---|---|
alert.secret_type_display_name |
secret_type_display_name |
alert_secret_type_display_name |
enterprise.name |
Enterprise Name |
enterprise_name |
hook_id |
Hook Id |
Hook_Id |
invitation.failed_at |
failed_at |
invitation_failed_at |
invitation.failed_reason |
failed_reason |
invitation_failed_reason |
invitation.invitation_source |
invitation_source |
invitation_invitation_source |
raw.failure_reason |
failure_reason |
raw_failure_reason |
raw.failure_type |
failure_type |
raw_failure_type |
raw.from |
from |
raw_from |
workflow_run.event |
event |
workflow_run_event |
workflow_run.head_branch |
Head Branch |
Head_Branch |
workflow_run.id |
workflow_run_id |
workflow_Run_id |
workflow_run.workflow_id |
Workflow Id |
Workflow_Id |
Log delle modifiche
Visualizza il log delle modifiche per questo parser
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.