AWS GuardDuty-Logs erfassen

Parserversion: 22.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie AWS GuardDuty-Logs erfassen, indem Sie einen Google Security Operations-Feed einrichten.

Weitere Informationen finden Sie unter Datenaufnahme in Google Security Operations.

Ein Aufnahme-Label identifiziert den Parser, der Logrohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument gelten für den Parser mit dem Aufnahmelabel GUARDDUTY.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Der AWS S3-Bucket wurde erstellt. Informationen zum Erstellen des AWS S3-Buckets finden Sie unter Ersten S3-Bucket erstellen.
  • KMS-Schlüssel wurde erstellt. Informationen zum Erstellen des KMS-Schlüssels finden Sie unter Asymmetrische KMS-Schlüssel erstellen.
  • AWS GuardDuty hat die Berechtigung, auf den KMS-Schlüssel zuzugreifen. Informationen zum Gewähren des Zugriffs auf den KMS-Schlüssel finden Sie unter Ergebnisse exportieren. GuardDuty verschlüsselt die Ergebnisdaten in Ihrem Bucket mit einem AWS KMS-Schlüssel.

AWS GuardDuty konfigurieren

So konfigurieren Sie AWS GuardDuty:

  1. Melden Sie sich in der AWS-Konsole an.
  2. Suchen Sie nach GuardDuty.
  3. Wählen Sie Einstellungen aus.

  4. Führen Sie im Abschnitt Exportoption für Ergebnisse folgende Schritte aus:

    1. Wählen Sie in der Liste Häufigkeit für aktualisierte Ergebnisse die Option CWE und S3 alle 15 Minuten aktualisieren aus. Die Häufigkeitsauswahl gilt für die aktualisierten Ergebnisse. Die neuen Ergebnisse werden 5 Minuten nach der Erstellung exportiert.
    2. Wählen Sie im Abschnitt S3-Bucket den S3-Bucket aus, in den Sie die GuardDuty-Ergebnisse exportieren möchten.
    3. Geben Sie im Abschnitt Präfix für Logdatei das Präfix für die Logdatei an.
    4. Wählen Sie im Abschnitt KMS-Verschlüsselung die KMS-Verschlüsselung aus.
    5. Wählen Sie den Schlüssel aus der Liste Schlüssel-Alias aus.
    6. Klicken Sie auf Speichern.

  5. Nachdem die Logdateien im S3-Bucket gespeichert wurden, erstellen Sie eine SQS-Warteschlange und hängen Sie sie an den S3-Bucket an.

Beispiel für eine KMS-Richtlinie

Hier ein Beispiel für eine KMS-Richtlinie:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Ersetzen Sie Folgendes:

  • AWS_REGION: die ausgewählte Region.
  • KEY_ARN: Amazon-Ressourcenname (ARN) des KMS-Schlüssels.

Prüfen Sie die erforderlichen IAM-Nutzer- und KMS-Schlüsselrichtlinien für S3, SQS und KMS.

Ermitteln Sie anhand des Dienstes und der Region die Endpunkte für die Verbindung. Weitere Informationen finden Sie in der folgenden AWS-Dokumentation:

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie einen eindeutigen Feednamen ein.
  5. Wählen Sie als Quelltyp die Option Amazon S3 V2 oder Amazon SQS V2 aus.
  6. Wählen Sie AWS GuardDuty als Logtyp aus.
  7. Klicken Sie auf Weiter und dann auf Senden.
  8. Google Security Operations unterstützt die Protokollerfassung mithilfe einer Zugriffsschlüssel-ID und einer geheimen Methode. Informationen zum Erstellen der Zugriffsschlüssel-ID und des Secrets finden Sie unter Toolauthentifizierung mit AWS konfigurieren.

  9. Geben Sie basierend auf der von Ihnen erstellten AWS GuardDuty-Konfiguration Werte für die folgenden Felder an.

    1. Bei Verwendung von Amazon S3 V2

      • **S3-URI**
      • **Option zum Löschen der Quelle**
      • **Maximales Dateialter**

    2. Bei Verwendung von Amazon SQS V2
      • Name der Warteschlange
      • Kontonummer
      • Zugriffsschlüssel-ID für Warteschlange
      • Geheimer Zugriffsschlüssel für Warteschlange
      • Option zum Löschen der Quelle
      • Maximales Dateialter

  10. Klicken Sie auf Weiter und dann auf Senden.

Weitere Informationen zu Google Security Operations-Feeds finden Sie in der Dokumentation zu Google Security Operations-Feeds. Informationen zu den Anforderungen für die einzelnen Feedtypen finden Sie unter Feedkonfiguration nach Typ. Wenn beim Erstellen von Feeds Probleme auftreten, wenden Sie sich an den Google Security Operations-Support.

Referenz zur Feldzuordnung

Dieser Parsercode verarbeitet AWS GuardDuty-Ergebnisse im JSON-Format, extrahiert relevante Felder und ordnet sie einem Unified Data Model (UDM) zu. Es führt Datentransformationen durch, einschließlich Stringersetzungen, Zusammenführen von Arrays und Konvertieren von Datentypen, um eine strukturierte Darstellung des Sicherheitsereignisses für die Analyse und Korrelation zu erstellen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
accountId principal.group.product_object_id Die AWS-Konto-ID, die mit dem Ergebnis verknüpft ist.
additionalInfo.portsScannedSample event.idm.read_only_udm.about.port Liste der Ports, die während eines Port-Sweeps gescannt wurden.
additionalInfo.sample security_result.about.labels.value Gibt an, ob es sich bei dem Ergebnis um ein Beispielergebnis handelt.
additionalInfo.threatListName security_result.threat_feed_name Der Name der Bedrohungsliste, die das Ergebnis ausgelöst hat.
additionalInfo.threatName security_result.threat_name Der Name der Bedrohung, die das Ergebnis ausgelöst hat.
additionalInfo.userAgent
.fullUserAgent		 network.http.user_agent Der vollständige User-Agent-String, der mit dem Ergebnis verknüpft ist.
additionalInfo.userAgent
.userAgentCategory		 security_result.detection_fields.value Die Kategorie des User-Agents, der mit dem Ergebnis verknüpft ist.
arn target.asset.attribute
.cloud.project.product_object_id		 Der Amazon Resource Name (ARN) des Ergebnisses.
detail.accountId principal.group.product_object_id Die AWS-Konto-ID, die mit dem Ergebnis verknüpft ist.
detail.description security_result.description Eine detaillierte Beschreibung des Ergebnisses.
detail.id target.asset.attribute.cloud.project.id Eine eindeutige ID für das Ergebnis.
detail.resource.accessKeyDetails principal.user Details zum AWS-Zugriffsschlüssel, der am Ergebnis beteiligt ist.
detail.resource.accessKeyDetails
.accessKeyId		 principal.user.userid Die ID des AWS-Zugriffsschlüssels, der am Ergebnis beteiligt ist.
detail.resource.accessKeyDetails
.principalId		 principal.user.userid Die Hauptkonto-ID des AWS-Zugriffsschlüssels, der am Ergebnis beteiligt ist.
detail.resource.accessKeyDetails
.userType		 principal.user.attribute.roles.name Der Nutzertyp, der mit dem AWS-Zugriffsschlüssel verknüpft ist, der im Ergebnis enthalten ist.
detail.resource.accessKeyDetails
.userName		 principal.user.user_display_name Der Name des Nutzers, der mit dem AWS-Zugriffsschlüssel verknüpft ist, der im Ergebnis enthalten ist.
detail.resource.s3BucketDetails
.0.arn		 target.resource.name Der ARN des S3-Buckets, der am Ergebnis beteiligt ist.
detail.resource.s3BucketDetails
.0.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Der Typ der serverseitigen Verschlüsselung, die für den S3-Bucket verwendet wird, der im Ergebnis enthalten ist.
detail.resource.s3BucketDetails
.0.name		 target.resource.name Der Name des S3-Buckets, der im Ergebnis enthalten ist.
detail.resource.s3BucketDetails
.0.owner.id		 target.resource.attribute.labels.value Die ID des Inhabers des S3-Buckets, der am Ergebnis beteiligt ist.
detail.resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value Die effektive Berechtigung des S3-Buckets, der am Ergebnis beteiligt ist.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Access Control List (ACL) öffentlichen Lesezugriff zulässt.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Access Control List (ACL) öffentlichen Schreibzugriff zulässt.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Bucket-Richtlinie öffentlichen Lesezugriff zulässt.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Bucket-Richtlinie öffentlichen Schreibzugriff zulässt.
detail.resource.s3BucketDetails
.0.type		 target.resource.attribute.labels.value Der Typ des S3-Buckets, der im Ergebnis enthalten ist.
detail.service.action
.actionType		 principal.group.attribute.labels.value Die Art der Aktion, die mit dem Ergebnis verknüpft ist.
detail.service.action
.awsApiCallAction.api		 principal.application Der Name des AWS-API-Aufrufs, der am Ergebnis beteiligt ist.
detail.service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Der Typ des Aufrufers, der den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
detail.service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Der Domainname, der mit dem AWS API-Aufruf verknüpft ist, der am Ergebnis beteiligt ist.
detail.service.action.awsApiCallAction
.remoteIpDetails.country.countryName		 target.location.country_or_region Der Name des Landes, das mit der Remote-IP-Adresse verknüpft ist, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis durchgeführt hat.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lat		 target.location.region_latitude Der Breitengrad der Remote-IP-Adresse, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lon		 target.location.region_longitude Der Längengrad der Remote-IP-Adresse, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis durchgeführt hat.
detail.service.action
.awsApiCallAction.remoteIpDetails.ipAddressV4		 target.ip Die IP-Adresse, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
detail.service.action
.awsApiCallAction.serviceName		 metadata.description Der Name des AWS-Dienstes, der am Ergebnis beteiligt ist.
detail.service.action
.dnsRequestAction.blocked		 security_result.action Gibt an, ob die DNS-Anfrage blockiert wurde.
detail.service.action
.dnsRequestAction.domain		 principal.administrative_domain Der Domainname, der mit der DNS-Anfrage verknüpft ist, die im Ergebnis enthalten ist.
detail.service.action
.dnsRequestAction.protocol		 network.ip_protocol Das Protokoll, das für die DNS-Anfrage verwendet wurde, die am Ergebnis beteiligt war.
detail.service.action
.networkConnectionAction.blocked		 security_result.action Gibt an, ob die Netzwerkverbindung blockiert wurde.
detail.service.action
.networkConnectionAction.connectionDirection		 network.direction Die Richtung der Netzwerkverbindung, die am Ergebnis beteiligt ist.
detail.service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip Die lokale IP-Adresse, die an der Netzwerkverbindung beteiligt ist.
detail.service.action
.networkConnectionAction.localPortDetails
.port		 principal.port Der lokale Port, der an der Netzwerkverbindung beteiligt ist.
detail.service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Der Name des lokalen Ports, der an der Netzwerkverbindung beteiligt ist.
detail.service.action
.networkConnectionAction.protocol		 network.ip_protocol Das Protokoll, das für die Netzwerkverbindung verwendet wird, die am Ergebnis beteiligt ist.
detail.service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Der Name der Stadt, die mit der Remote-IP-Adresse der Netzwerkverbindung verknüpft ist.
detail.service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Der Ländername, der mit der Remote-IP-Adresse verknüpft ist, die an der Netzwerkverbindung beteiligt ist.
detail.service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip Die Remote-IP-Adresse, die an der Netzwerkverbindung beteiligt ist.
detail.service.action
.networkConnectionAction.remotePortDetails
.port		 target.port Der Remote-Port, der an der Netzwerkverbindung beteiligt ist.
detail.service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Der Name des Remote-Ports, der an der Netzwerkverbindung beteiligt ist.
detail.service.action
.portProbeAction.blocked		 security_result.action Ob die Portprüfung blockiert wurde.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.port		 target.port Der lokale Port, der geprüft wurde.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.portName		 principal.application Der Name des lokalen Ports, der geprüft wurde.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.city.cityName		 target.location.city Der Name der Stadt, die mit der Remote-IP-Adresse verknüpft ist, die die Portprüfung durchgeführt hat.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.country.countryName		 target.location.country_or_region Der Name des Landes, das mit der Remote-IP-Adresse verknüpft ist, die die Portprüfung durchgeführt hat.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lat		 target.location.region_latitude Der Breitengrad der Remote-IP-Adresse, die die Portprüfung durchgeführt hat.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lon		 target.location.region_longitude Der Längengrad der Remote-IP-Adresse, die die Portprüfung durchgeführt hat.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip Die Remote-IP-Adresse, die die Portprüfung durchgeführt hat.
detail.service.additionalInfo
.threatListName		 security_result.threat_feed_name Der Name der Bedrohungsliste, die das Ergebnis ausgelöst hat.
detail.service.additionalInfo
.threatName		 security_result.threat_name Der Name der Bedrohung, die das Ergebnis ausgelöst hat.
detail.service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent Der vollständige User-Agent-String, der mit dem Ergebnis verknüpft ist.
detail.service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields.value Die Kategorie des User-Agents, der mit dem Ergebnis verknüpft ist.
detail.service.additionalInfo
.value		 security_result.about
.resource.attribute.labels.value		 Zusätzliche Informationen zum Ergebnis.
detail.title security_result.summary Ein kurzer Titel für das Ergebnis.
detail.type metadata.product_event_type Die Art des Ergebnisses.
detail.updatedAt metadata.event_timestamp Der Zeitpunkt, zu dem das Ergebnis zuletzt aktualisiert wurde.
detail-type event.idm.read_only_udm
.additional.fields.value.string_value		 Die Art des Ereignisses, das das Ergebnis ausgelöst hat.
Partition target.asset.attribute
.cloud.project.type		 Die AWS-Partition, in der das Ergebnis aufgetreten ist.
resource.accessKeyDetails principal.user Details zum AWS-Zugriffsschlüssel, der am Ergebnis beteiligt ist.
resource.accessKeyDetails.accessKeyId principal.user.userid Die ID des AWS-Zugriffsschlüssels, der am Ergebnis beteiligt ist.
resource.accessKeyDetails.principalId principal.user.userid Die Hauptkonto-ID des AWS-Zugriffsschlüssels, der am Ergebnis beteiligt ist.
resource.accessKeyDetails.userType principal.user.attribute.roles.name Der Nutzertyp, der mit dem AWS-Zugriffsschlüssel verknüpft ist, der im Ergebnis enthalten ist.
resource.accessKeyDetails.userName principal.user.user_display_name Der Name des Nutzers, der mit dem AWS-Zugriffsschlüssel verknüpft ist, der im Ergebnis enthalten ist.
resource.instanceDetails.availabilityZone target.asset.attribute.cloud.availability_zone Die Verfügbarkeitszone der EC2-Instanz, die am Ergebnis beteiligt ist.
resource.instanceDetails.imageDescription event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Die Beschreibung des AMI, das zum Starten der EC2-Instanz verwendet wurde, die am Ergebnis beteiligt ist.
resource.instanceDetails.imageId event.idm.read_only_udm
.additional.fields.value.string_value		 Die ID des AMI, das zum Starten der EC2-Instanz verwendet wurde, die am Ergebnis beteiligt ist.
resource.instanceDetails
.iamInstanceProfile.arn		 target.resource.attribute.labels.value Der ARN des IAM-Instanzprofils, das der EC2-Instanz zugeordnet ist, die im Ergebnis enthalten ist.
resource.instanceDetails
.iamInstanceProfile.id		 target.resource.attribute.labels.value Die ID des IAM-Instanzprofils, das der EC2-Instanz zugeordnet ist, die am Ergebnis beteiligt ist.
resource.instanceDetails.instanceId target.resource.product_object_id Die ID der EC2-Instanz, die am Ergebnis beteiligt ist.
resource.instanceDetails.instanceState target.resource.attribute.labels.value Der Status der EC2-Instanz, die am Ergebnis beteiligt ist.
resource.instanceDetails.instanceType target.resource.attribute.labels.value Der Typ der EC2-Instanz, die am Ergebnis beteiligt ist.
resource.instanceDetails
.launchTime		 target.resource.attribute.creation_time Der Zeitpunkt, zu dem die am Ergebnis beteiligte EC2-Instanz gestartet wurde.
resource.instanceDetails
.networkInterfaces.0.networkInterfaceId		 target.resource.attribute.labels.value Die ID der Netzwerkschnittstelle, die mit der EC2-Instanz verknüpft ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.privateDnsName		 target.resource.attribute.labels.value Der private DNS-Name der Netzwerkschnittstelle, die der EC2-Instanz zugeordnet ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.publicDnsName		 target.resource.attribute.labels.value Der öffentliche DNS-Name der Netzwerkschnittstelle, die der EC2-Instanz zugeordnet ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.publicIp		 principal.ip Die öffentliche IP-Adresse der Netzwerkschnittstelle, die der EC2-Instanz zugeordnet ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.privateIpAddress		 principal.ip Die private IP-Adresse der Netzwerkschnittstelle, die mit der EC2-Instanz verknüpft ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupId		 target.user.group_identifiers Die ID der Sicherheitsgruppe, die mit der Netzwerkschnittstelle der EC2-Instanz verknüpft ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupName		 target.user.group_identifiers Der Name der Sicherheitsgruppe, die mit der Netzwerkschnittstelle der EC2-Instanz verknüpft ist, die am Ergebnis beteiligt ist.
resource.instanceDetails
.networkInterfaces.0.subnetId		 target.resource.attribute.labels.value Die ID des Subnetzes, das mit der Netzwerkschnittstelle der EC2-Instanz verknüpft ist, die im Ergebnis enthalten ist.
resource.instanceDetails
.networkInterfaces.0.vpcId		 target.asset.attribute.cloud.vpc.id Die ID der VPC, die mit der Netzwerkschnittstelle der EC2-Instanz verknüpft ist, die am Ergebnis beteiligt ist.
resource.instanceDetails.outpostArn target.resource.attribute.labels.value Der ARN des Outposts, der mit der EC2-Instanz verknüpft ist, die im Ergebnis enthalten ist.
resource.instanceDetails.platform target.asset.platform_software.platform_version Die Plattform der EC2-Instanz, die am Ergebnis beteiligt ist.
resource.instanceDetails
.productCodes.0.productCodeType		 target.resource.type Der Typ des Produktcodes, der der EC2-Instanz zugeordnet ist, die im Ergebnis enthalten ist.
resource.instanceDetails.tags target.asset.attribute.labels Die Tags, die mit der EC2-Instanz verknüpft sind, die am Ergebnis beteiligt ist.
resource.kubernetesDetails
.kubernetesUserDetails.username		 principal.user.userid Der Nutzername des Kubernetes-Nutzers, der am Ergebnis beteiligt ist.
resource.rdsDbInstanceDetails
.dbClusterIdentifier		 event.idm.read_only_udm
.target.resource_ancestors.product_object_id		 Die Kennung des RDS-DB-Clusters, der am Ergebnis beteiligt ist.
resource.rdsDbInstanceDetails
.dbInstanceArn		 target.resource.name Der ARN der RDS-Datenbankinstanz, die am Ergebnis beteiligt ist.
resource.rdsDbInstanceDetails
.dbInstanceIdentifier		 target.resource.product_object_id Die Kennung der RDS-Datenbankinstanz, die am Ergebnis beteiligt ist.
resource.rdsDbUserDetails.user principal.user.userid Der Nutzername des RDS-Datenbanknutzers, der am Ergebnis beteiligt ist.
resource.resourceType target.resource.resource_subtype Der Typ der Ressource, die am Ergebnis beteiligt ist.
resource.s3BucketDetails principal.resource.attribute.labels Details zum S3-Bucket, der am Ergebnis beteiligt ist.
resource.s3BucketDetails.0.arn target.resource.name Der ARN des S3-Buckets, der am Ergebnis beteiligt ist.
resource.s3BucketDetails.0.createdAt event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Der Zeitpunkt, zu dem der am Ergebnis beteiligte S3-Bucket erstellt wurde.
resource.s3BucketDetails.0
.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Der Typ der serverseitigen Verschlüsselung, die für den S3-Bucket verwendet wird, der im Ergebnis enthalten ist.
resource.s3BucketDetails.0.name target.resource.name Der Name des S3-Buckets, der im Ergebnis enthalten ist.
resource.s3BucketDetails.0.owner.id target.resource.attribute.labels.value Die ID des Inhabers des S3-Buckets, der am Ergebnis beteiligt ist.
resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value Die effektive Berechtigung des S3-Buckets, der am Ergebnis beteiligt ist.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Blockierung des öffentlichen Zugriffs für das Konto aktiviert ist.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Access Control List (ACL) öffentlichen Lesezugriff zulässt.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Access Control List (ACL) öffentlichen Schreibzugriff zulässt.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob öffentliche Zugriffsblockierungen für den Bucket aktiviert sind.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Bucket-Richtlinie öffentlichen Lesezugriff zulässt.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob die Bucket-Richtlinie öffentlichen Schreibzugriff zulässt.
resource.s3BucketDetails.0.tags event.idm.read_only_udm
.principal.resource.attribute.labels		 Die Tags, die mit dem S3-Bucket verknüpft sind, der am Ergebnis beteiligt ist.
resource.s3BucketDetails.0.type target.resource.attribute.labels.value Der Typ des S3-Buckets, der im Ergebnis enthalten ist.
service.action
.actionType		 principal.group.attribute.labels.value Die Art der Aktion, die mit dem Ergebnis verknüpft ist.
service.action
.awsApiCallAction.affectedResources
.AWS_CloudTrail_Trail		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Der Name des AWS CloudTrail-Trails, der am Ergebnis beteiligt ist.
service.action
.awsApiCallAction.affectedResources
.AWS_S3_Bucket		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Der Name des S3-Buckets, der im Ergebnis enthalten ist.
service.action
.awsApiCallAction.api		 principal.application Der Name des AWS-API-Aufrufs, der am Ergebnis beteiligt ist.
service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Der Typ des Aufrufers, der den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Der Domainname, der mit dem AWS API-Aufruf verknüpft ist, der am Ergebnis beteiligt ist.
service.action
.awsApiCallAction.errorCode		 security_result.rule_type Der Fehlercode, der mit dem AWS API-Aufruf verknüpft ist, der am Ergebnis beteiligt ist.
service.action
.awsApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Der Name des Landes, das mit der Remote-IP-Adresse verknüpft ist, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis durchgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude Der Breitengrad der Remote-IP-Adresse, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude Der Längengrad der Remote-IP-Adresse, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis durchgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip Die IP-Adresse, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asn		 event.idm.read_only_udm
.additional.fields.value.string_value		 Die ASN (Autonomous System Number) der Organisation, die mit der Remote-IP-Adresse verknüpft ist, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asnOrg		 event.idm.read_only_udm
.additional.fields.value.string_value		 Der Name der Organisation, die mit der Remote-IP-Adresse verknüpft ist, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.organization.isp		 event.idm.read_only_udm
.additional.fields.value.string_value		 Der Name des Internetanbieters (ISP), der mit der Remote-IP-Adresse verknüpft ist, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis durchgeführt hat.
service.action
.awsApiCallAction.remoteIpDetails
.organization.org		 event.idm.read_only_udm
.additional.fields.value.string_value		 Der Name der Organisation, die mit der Remote-IP-Adresse verknüpft ist, die den AWS API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.awsApiCallAction.serviceName		 metadata.description Der Name des AWS-Dienstes, der am Ergebnis beteiligt ist.
service.action
.dnsRequestAction.blocked		 security_result.action Gibt an, ob die DNS-Anfrage blockiert wurde.
service.action
.dnsRequestAction.domain		 principal.administrative_domain Der Domainname, der mit der DNS-Anfrage verknüpft ist, die im Ergebnis enthalten ist.
service.action
.dnsRequestAction.protocol		 network.ip_protocol Das Protokoll, das für die DNS-Anfrage verwendet wurde, die am Ergebnis beteiligt war.
service.action
.kubernetesApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Der Ländername, der mit der Remote-IP-Adresse verknüpft ist, die den Kubernetes API-Aufruf im Zusammenhang mit dem Ergebnis durchgeführt hat.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude Der Breitengrad der Remote-IP-Adresse, die den Kubernetes API-Aufruf ausgeführt hat, der am Ergebnis beteiligt ist.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude Der Längengrad der Remote-IP-Adresse, die den Kubernetes API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.kubernetesApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip Die IP-Adresse, die den Kubernetes API-Aufruf im Zusammenhang mit dem Ergebnis ausgeführt hat.
service.action
.networkConnectionAction.blocked		 security_result.action Gibt an, ob die Netzwerkverbindung blockiert wurde.
service.action
.networkConnectionAction.connectionDirection		 network.direction Die Richtung der Netzwerkverbindung, die am Ergebnis beteiligt ist.
service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip Die lokale IP-Adresse, die an der Netzwerkverbindung beteiligt ist.
service.action
.networkConnectionAction.localPortDetails
.port		 principal.port Der lokale Port, der an der Netzwerkverbindung beteiligt ist.
service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Der Name des lokalen Ports, der an der Netzwerkverbindung beteiligt ist.
service.action
.networkConnectionAction.protocol		 network.ip_protocol Das Protokoll, das für die Netzwerkverbindung verwendet wird, die am Ergebnis beteiligt ist.
service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Der Name der Stadt, die mit der Remote-IP-Adresse der Netzwerkverbindung verknüpft ist.
service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Der Ländername, der mit der Remote-IP-Adresse verknüpft ist, die an der Netzwerkverbindung beteiligt ist.
service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip Die Remote-IP-Adresse, die an der Netzwerkverbindung beteiligt ist.
service.action
.networkConnectionAction.remotePortDetails
.port		 target.port Der Remote-Port, der an der Netzwerkverbindung beteiligt ist.
service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Der Name des Remote-Ports, der an der Netzwerkverbindung beteiligt ist.
service.action
.portProbeAction.blocked		 security_result.action Ob die Portprüfung blockiert wurde.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.port		 target.port Der lokale Port, der geprüft wurde.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.portName		 principal.application Der Name des lokalen Ports, der geprüft wurde.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.city
.cityName		 target.location.city Der Name der Stadt, die mit der Remote-IP-Adresse verknüpft ist, die die Portprüfung durchgeführt hat.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.country
.countryName		 target.location.country_or_region Der Name des Landes, das mit der Remote-IP-Adresse verknüpft ist, die die Portprüfung durchgeführt hat.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lat		 target.location.region_latitude Der Breitengrad der Remote-IP-Adresse, die die Portprüfung durchgeführt hat.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lon		 target.location.region_longitude Der Längengrad der Remote-IP-Adresse, die die Portprüfung durchgeführt hat.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip Die Remote-IP-Adresse, die die Portprüfung durchgeführt hat.
service.additionalInfo
.portsScannedSample		 event.idm.read_only_udm.about.port Eine Stichprobe der gescannten Ports.
service.additionalInfo
.recentCredentials		 event.idm.read_only_udm.intermediary Eine Liste der zuletzt verwendeten Anmeldedaten.
service.additionalInfo.sample security_result.about
.labels.value		 Gibt an, ob es sich bei dem Ergebnis um ein Beispielergebnis handelt.
service.additionalInfo.threatListName security_result.threat_feed_name Der Name der Bedrohungsliste, die das Ergebnis ausgelöst hat.
service.additionalInfo.threatName security_result.threat_name Der Name der Bedrohung, die das Ergebnis ausgelöst hat.
service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent Der vollständige User-Agent-String, der mit dem Ergebnis verknüpft ist.
service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields
.value		 Die Kategorie des User-Agents, der mit dem Ergebnis verknüpft ist.
service.additionalInfo.value security_result.about
.resource.attribute.labels.value		 Zusätzliche Informationen zum Ergebnis.
service.archived event.idm.read_only_udm
.additional.fields.value.bool_value		 Gibt an, ob das Ergebnis archiviert ist.
service.count event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Die Häufigkeit, mit der das Ereignis aufgetreten ist.
service.detectorId event.idm.read_only_udm
.additional.fields.value.string_value		 Die ID des GuardDuty-Detektors, der das Ergebnis generiert hat.
service.ebsVolumeScanDetails
.scanDetections
.threatDetectedByName.itemCount		 Die Gesamtzahl der Bedrohungen, die während des EBS-Volume-Scans erkannt wurden.
detail.service.detection.sequence.uid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
detail.service.detection.sequence.description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
detail.service.additionalInfo.type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.resourceUids event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.endpointIds event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.signalIndicators.values event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.uid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.createdAt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.updatedAt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.firstSeenAt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.lastSeenAt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.severity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.count event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.domain event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.port event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.uid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.cloudPartition event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.data.ec2Instance.availabilityZone event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.data.ec2Instance.imageDescription event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.data.ec2Instance.instanceState event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.data.ec2Instance.instanceType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.accountId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.data.ec2Instance.ec2NetworkInterfaceUids event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
prodcode.productCodeId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
prodcode.productCodeType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.data.ec2Image.ec2InstanceUids event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource2.resourceType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
sequenceIndicator.values event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
detail.createdAt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
detail.id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data.ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
detail.service.eventFirstSeen event.idm.read_only_udm.principal.asset.first_discover_time Aus Änderungsprotokoll zugeordnet
detail.service.eventLastSeen event.idm.read_only_udm.principal.asset.last_discover_time Aus Änderungsprotokoll zugeordnet
data.location event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
data.autonomousSystem event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
detail.associatedAttackSequenceArn event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
Record.requestParameters.bucketName event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
Record.additionalEventData.bytesTransferredIn event.idm.read_only_udm.network.sent_bytes Aus Änderungsprotokoll zugeordnet
Record.additionalEventData.bytesTransferredOut event.idm.read_only_udm.network.received_bytes Aus Änderungsprotokoll zugeordnet
Record.userIdentity.userName event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
Record.userIdentity.accountId event.idm.read_only_udm.principal.user.group_identifiers Aus Änderungsprotokoll zugeordnet
Record_eventName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Record.requestParameters.encoding-type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Record.requestParameters.delimiter event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Record.additionalEventData.SignatureVersion event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Record.additionalEventData.x-amz-id-2 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Record.requestParameters.prefix event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resource event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
Record.recipientAccountId event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
Record.additionalEventData.AuthenticationMethod event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
awsAccountId event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
digestS3Object event.idm.read_only_udm.target.file.full_path Aus Änderungsprotokoll zugeordnet
digestS3Bucket event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
digestPublicKeyFingerprint event.idm.read_only_udm.target.artifact.last_https_certificate.thumbprint_sha256 Aus Änderungsprotokoll zugeordnet
digestSignatureAlgorithm event.idm.read_only_udm.target.artifact.last_https_certificate.cert_signature.signature_algorithm Aus Änderungsprotokoll zugeordnet
previousDigestHashValue event.idm.read_only_udm.target.file.sha256 Aus Änderungsprotokoll zugeordnet
newestEventTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
oldestEventTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
previousDigestHashAlgorithm event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
previousDigestS3Bucket event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
previousDigestS3Object event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
actor_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resources_name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resources_accountId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
sequenceIndicator.key event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
image event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
imageUid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
createdAt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
containerUids event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
actors_path event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
actors_sha256 event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
associatedAttackSequenceArn event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
updatedAt event.idm.read_only_udm.metadata.collected_timestamp Aus Änderungsprotokoll zugeordnet
resources_region event.idm.read_only_udm.security_result.about.location.name Aus Änderungsprotokoll zugeordnet
actors_name event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
INBOUND event.idm.read_only_udm.network.direction Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
vpcId event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
namespace event.idm.read_only_udm.principal.namespace Aus Änderungsprotokoll zugeordnet
remoteIpDetails_ipAddressV4 event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
remoteIpDetails_city_cityName event.idm.read_only_udm.principal.location.city Aus Änderungsprotokoll zugeordnet
remoteIPDetails_geoLocation_lat event.idm.read_only_udm.principal.location.region_latitude Aus Änderungsprotokoll zugeordnet
remoteIPDetails_geoLocation_lon event.idm.read_only_udm.principal.location.region_longitude Aus Änderungsprotokoll zugeordnet
remoteIPDetails_organization_asn event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
remoteIPDetails_organization_isp event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
remoteIPDetails_organization_asnOrg event.idm.read_only_udm.principal.network.organization_name Aus Änderungsprotokoll zugeordnet
remoteIPDetails_organization_org event.idm.read_only_udm.target.administrative_domain Aus Änderungsprotokoll zugeordnet
kubernetesApiCallAction_requestUri event.idm.read_only_udm.principal.url Aus Änderungsprotokoll zugeordnet
kubernetesApiCallAction_statusCode event.idm.read_only_udm.network.http.response_code Aus Änderungsprotokoll zugeordnet
kubernetesApiCallAction_userAgent event.idm.read_only_udm.network.http.user_agent Aus Änderungsprotokoll zugeordnet
kubernetesApiCallAction_userAgentOrg event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
unmapped_username event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
resource_uid event.idm.read_only_udm.principal.resource.id Aus Änderungsprotokoll zugeordnet
remoteIpDetails_ipAddressV4 event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesWorkloadDetails.namespace event.idm.read_only_udm.target.namespace Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesWorkloadDetails.name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesWorkloadDetails.uid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesWorkloadDetails.type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesWorkloadDetails.serviceAccountName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesUserDetails.uid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
service.action.kubernetesApiCallAction.sourceIPs event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.executablePath event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.name event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.namespacePid event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.userId event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.uuid event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.euid event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.parentUuid event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.namespacePid event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.detectorId event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.startTime event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.euid event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.executableSha256 event.idm.read_only_udm.target.file.sha256 Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.name event.idm.read_only_udm.target.process.file.names Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.executablePath event.idm.read_only_udm.target.process.file.full_path Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.pid event.idm.read_only_udm.target.process.pid Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.uuid event.idm.read_only_udm.target.process.product_specific_process_id Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.parentUuid event.idm.read_only_udm.target.process.parent_process.product_specific_process_id Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.user event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.startTime event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.pwd event.idm.read_only_udm.target.file.full_path Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.userId event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
service.runtimeDetails.process.lineage.pid event.idm.read_only_udm.target.process.parent_process.pid Aus Änderungsprotokoll zugeordnet
detail.resource.kubernetesDetails.kubernetesUserDetails.username event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
"service.detection.sequence.signals" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.detection.sequence.actors" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.detection.sequence.endpoints" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.detection.sequence.resources" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.featureName" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.detectorId" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.resourceRole" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
and "service.serviceName" event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
"service.detection.sequence.endpoints.ip" event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
"service.detection.sequence.actors.user" event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
"schemaVersion" event.idm.read_only_udm.security_result.rule_version Aus Änderungsprotokoll zugeordnet
service.eventFirstSeen event.idm.read_only_udm.principal.asset.first_discover_time Aus Änderungsprotokoll zugeordnet
service.eventLastSeen event.idm.read_only_udm.principal.asset.last_discover_time Aus Änderungsprotokoll zugeordnet
service.additionalInfo.value security_result.about.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
service.additionalInfo.unusualBehavior" and "service.additionalInfo.profiledBehavior security_result.about.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resource.eksClusterDetails.status", "resource.kubernetesDetails.kubernetesUserDetails.impersonatedUser", "resource.kubernetesDetails.kubernetesUserDetails.groups", "resource.kubernetesDetails.kubernetesUserDetails.sessionName", "service.action.kubernetesApiCallAction.verb", "service.detection.anomaly.profiles.namespace.asnInfo", "service.detection.anomaly.profiles.namespace.userAgent", "service.detection.anomaly.profiles.namespace.dayOfWeek", "service.detection.anomaly.profiles.namespace.impersonatedUsername", "service.detection.anomaly.profiles.namespace.api", "service.detection.anomaly.profiles.namespace.username", "service.detection.anomaly.profiles.cluster.asnInfo", "service.detection.anomaly.profiles.cluster.userAgent", "service.detection.anomaly.profiles.cluster.dayOfWeek", "service.detection.anomaly.profiles.cluster.impersonatedUsername", "service.detection.anomaly.profiles.cluster.api", "service.detection.anomaly.profiles.cluster.username", "service.detection.anomaly.profiles.account.asnInfo", "service.detection.anomaly.profiles.account.userAgent", "service.detection.anomaly.profiles.account.dayOfWeek", "service.detection.anomaly.profiles.account.impersonatedUsername", "service.detection.anomaly.profiles.account.api", "service.detection.anomaly.profiles.account.username", "service.detection.anomaly.profiles.username.asnInfo", "service.detection.anomaly.profiles.username.userAgent", "service.detection.anomaly.profiles.username.dayOfWeek", "service.detection.anomaly.profiles.username.impersonatedUsername", "service.detection.anomaly.profiles.username.api", "service.detection.anomaly.profiles.username.username", "service.detection.anomaly.unusual.behavior.namespace.asnInfo", "service.detection.anomaly.unusual.behavior.namespace.userAgent", "service.detection.anomaly.unusual.behavior.namespace.dayOfWeek", "service.detection.anomaly.unusual.behavior.namespace.impersonatedUsername", "service.detection.anomaly.unusual.behavior.namespace.api", "service.detection.anomaly.unusual.behavior.namespace.username", "service.detection.anomaly.unusual.behavior.cluster.asnInfo", "service.detection.anomaly.unusual.behavior.cluster.userAgent", "service.detection.anomaly.unusual.behavior.cluster.dayOfWeek", "service.detection.anomaly.unusual.behavior.cluster.impersonatedUsername", "service.detection.anomaly.unusual.behavior.cluster.api", "service.detection.anomaly.unusual.behavior.cluster.username", "service.detection.anomaly.unusual.behavior.account.asnInfo", "service.detection.anomaly.unusual.behavior.account.userAgent", "service.detection.anomaly.unusual.behavior.account.dayOfWeek", "service.detection.anomaly.unusual.behavior.account.impersonatedUsername", "service.detection.anomaly.unusual.behavior.account.api", "service.detection.anomaly.unusual.behavior.account.username", "service.detection.anomaly.unusual.behavior.username.asnInfo", "service.detection.anomaly.unusual.behavior.username.userAgent", "service.detection.anomaly.unusual.behavior.username.dayOfWeek", "service.detection.anomaly.unusual.behavior.username.impersonatedUsername", "service.detection.anomaly.unusual.behavior.username.api", and "service.detection.anomaly.unusual.behavior.username.username additional.fields Aus Änderungsprotokoll zugeordnet
service.action.kubernetesApiCallAction.statusCode network.http.response_code Aus Änderungsprotokoll zugeordnet
resource.eksClusterDetails.vpcId principal.cloud.vpc.id Aus Änderungsprotokoll zugeordnet
service.action.kubernetesApiCallAction.namespace principal.namespace Aus Änderungsprotokoll zugeordnet
service.action.kubernetesApiCallAction.requestUri target.url Aus Änderungsprotokoll zugeordnet
service.action.awsApiCallAction.domainDetails.domain network.dns.questions.name Aus Änderungsprotokoll zugeordnet
service.action.awsApiCallAction.affectedResources.AWS_CloudTrail_Trail principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resource.eksClusterDetails.createdAt target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resource.s3BucketDetails.createdAt principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resource.eksClusterDetails.tags target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resource.s3BucketDetails.tags principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
threatdetails.threatListName security_result.threat_feed_name Aus Änderungsprotokoll zugeordnet
T1071 technique_label.value Aus Änderungsprotokoll zugeordnet
T1078 technique_label.value Aus Änderungsprotokoll zugeordnet
T1087 technique_label.value Aus Änderungsprotokoll zugeordnet
T1098 technique_label.value Aus Änderungsprotokoll zugeordnet
T1110 technique_label.value Aus Änderungsprotokoll zugeordnet
T1133 technique_label.value Aus Änderungsprotokoll zugeordnet
T1189 technique_label.value Aus Änderungsprotokoll zugeordnet
T1484 technique_label.value Aus Änderungsprotokoll zugeordnet
T1496 technique_label.value Aus Änderungsprotokoll zugeordnet
T1498 technique_label.value Aus Änderungsprotokoll zugeordnet
T1526 technique_label.value Aus Änderungsprotokoll zugeordnet
T1538 technique_label.value Aus Änderungsprotokoll zugeordnet
T1552 technique_label.value Aus Änderungsprotokoll zugeordnet
T1555 technique_label.value Aus Änderungsprotokoll zugeordnet
T1562 technique_label.value Aus Änderungsprotokoll zugeordnet
T1565 technique_label.value Aus Änderungsprotokoll zugeordnet
T1566 technique_label.value Aus Änderungsprotokoll zugeordnet
T1567 technique_label.value Aus Änderungsprotokoll zugeordnet
T1568 technique_label.value Aus Änderungsprotokoll zugeordnet
T1589 technique_label.value Aus Änderungsprotokoll zugeordnet
T1595 technique_label.value Aus Änderungsprotokoll zugeordnet
Reconnaissance tatic_label.value Aus Änderungsprotokoll zugeordnet
ResourceDevelopment tatic_label.value Aus Änderungsprotokoll zugeordnet
InitialAccess tatic_label.value Aus Änderungsprotokoll zugeordnet
Execution tatic_label.value Aus Änderungsprotokoll zugeordnet
Persistence tatic_label.value Aus Änderungsprotokoll zugeordnet
PrivilegeEscalation tatic_label.value Aus Änderungsprotokoll zugeordnet
DefenseEvasion tatic_label.value Aus Änderungsprotokoll zugeordnet
CredentialAccess tatic_label.value Aus Änderungsprotokoll zugeordnet
Discovery tatic_label.value Aus Änderungsprotokoll zugeordnet
LateralMovement tatic_label.value Aus Änderungsprotokoll zugeordnet
Collection tatic_label.value Aus Änderungsprotokoll zugeordnet
CommandAndControl tatic_label.value Aus Änderungsprotokoll zugeordnet
Exfiltration tatic_label.value Aus Änderungsprotokoll zugeordnet
Impact tatic_label.value Aus Änderungsprotokoll zugeordnet
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.hash principal.file.sha256 Aus Änderungsprotokoll zugeordnet
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.filePath principal.file.full_path Aus Änderungsprotokoll zugeordnet
service.action.dnsRequestAction.domain network.dns.questions.name Aus Änderungsprotokoll zugeordnet
resource.kubernetesDetails.kubernetesUserDetails.username principal.user.userid Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten