Mengumpulkan log AWS GuardDuty

Versi Parser: 22.0

Didukung di:

Dokumen ini menjelaskan cara mengumpulkan log AWS GuardDuty dengan menyiapkan feed Google Security Operations.

Untuk mengetahui informasi selengkapnya, lihat Penyerapan data ke Google Security Operations.

Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan GUARDDUTY.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Mengonfigurasi AWS GuardDuty

Untuk mengonfigurasi AWS GuardDuty, lakukan hal berikut:

  1. Login ke konsol AWS.
  2. Telusuri GuardDuty.
  3. Pilih Setelan.

  4. Di bagian Finding export option, lakukan tindakan berikut:

    1. Dari daftar Frequency for updated findings, pilih Update CWE and S3 every 15 minutes. Pemilihan frekuensi ditujukan untuk temuan yang diperbarui. Temuan baru akan diekspor setelah 5 menit sejak waktu pembuatan.
    2. Di bagian S3 bucket, pilih bucket S3 tempat Anda ingin mengekspor temuan GuardDuty.
    3. Di bagian Log file prefix, berikan awalan file log.
    4. Di bagian KMS encryption, pilih enkripsi KMS.
    5. Dari daftar Alias kunci, pilih kunci.
    6. Klik Simpan.

  5. Setelah file log disimpan di bucket S3, buat antrean SQS dan lampirkan dengan bucket S3.

Contoh kebijakan KMS

Berikut adalah contoh kebijakan KMS:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Ganti kode berikut:

  • AWS_REGION: region yang dipilih.
  • KEY_ARN: Amazon Resource Name (ARN) kunci KMS.

Periksa kebijakan pengguna IAM dan kunci KMS yang diperlukan untuk S3, SQS, dan KMS.

Berdasarkan layanan dan region, identifikasi endpoint untuk konektivitas dengan merujuk ke dokumentasi AWS berikut:

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik Tambahkan Feed Berita Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Masukkan nama unik untuk Nama feed.
  5. Pilih Amazon S3 V2 atau Amazon SQS V2 sebagai Jenis sumber.
  6. Pilih AWS GuardDuty sebagai Log type.
  7. Klik Berikutnya, lalu klik Kirim.
  8. Google Security Operations mendukung pengumpulan log menggunakan ID kunci akses dan metode rahasia. Untuk membuat ID kunci akses dan rahasia, lihat Mengonfigurasi autentikasi alat dengan AWS.

  9. Berdasarkan konfigurasi AWS GuardDuty yang Anda buat, tentukan nilai untuk kolom berikut.

    1. Jika menggunakan Amazon S3 V2

      • **URI S3**
      • **Opsi penghapusan sumber**
      • **Usia File Maksimum**

    2. Jika menggunakan Amazon SQS V2
      • Nama antrean
      • Nomor rekening
      • ID kunci akses antrean
      • Kunci akses rahasia antrean
      • Opsi penghapusan sumber
      • Usia File Maksimum

  10. Klik Berikutnya, lalu klik Kirim.

Untuk mengetahui informasi selengkapnya tentang feed Google Security Operations, lihat dokumentasi feed Google Security Operations. Untuk mengetahui informasi tentang persyaratan setiap jenis feed, lihat Konfigurasi feed menurut jenis. Jika Anda mengalami masalah saat membuat feed, hubungi dukungan Google Security Operations

Referensi pemetaan kolom

Kode parser ini memproses temuan AWS GuardDuty dalam format JSON, mengekstrak kolom yang relevan, dan memetakannya ke model data terpadu (UDM). Parser ini melakukan transformasi data, termasuk penggantian string, penggabungan array, dan konversi jenis data, untuk membuat representasi terstruktur dari peristiwa keamanan untuk analisis dan korelasi.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
accountId principal.group.product_object_id ID akun AWS yang terkait dengan temuan.
additionalInfo.portsScannedSample event.idm.read_only_udm.about.port Daftar port yang dipindai selama pemindaian port.
additionalInfo.sample security_result.about.labels.value Menunjukkan apakah temuan tersebut merupakan temuan sampel.
additionalInfo.threatListName security_result.threat_feed_name Nama daftar ancaman yang memicu temuan.
additionalInfo.threatName security_result.threat_name Nama ancaman yang memicu temuan.
additionalInfo.userAgent
.fullUserAgent		 network.http.user_agent String agen pengguna lengkap yang terkait dengan temuan.
additionalInfo.userAgent
.userAgentCategory		 security_result.detection_fields.value Kategori agen pengguna yang terkait dengan temuan.
arn target.asset.attribute
.cloud.project.product_object_id		 Amazon Resource Name (ARN) dari temuan.
detail.accountId principal.group.product_object_id ID akun AWS yang terkait dengan temuan.
detail.description security_result.description Deskripsi mendetail tentang temuan.
detail.id target.asset.attribute.cloud.project.id ID unik untuk temuan.
detail.resource.accessKeyDetails principal.user Detail tentang kunci akses AWS yang terlibat dalam temuan.
detail.resource.accessKeyDetails
.accessKeyId		 principal.user.userid ID kunci akses AWS yang terlibat dalam temuan.
detail.resource.accessKeyDetails
.principalId		 principal.user.userid ID akun utama kunci akses AWS yang terlibat dalam temuan.
detail.resource.accessKeyDetails
.userType		 principal.user.attribute.roles.name Jenis pengguna yang terkait dengan kunci akses AWS yang terlibat dalam temuan.
detail.resource.accessKeyDetails
.userName		 principal.user.user_display_name Nama pengguna yang terkait dengan kunci akses AWS yang terlibat dalam temuan.
detail.resource.s3BucketDetails
.0.arn		 target.resource.name ARN bucket S3 yang terlibat dalam temuan.
detail.resource.s3BucketDetails
.0.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Jenis enkripsi sisi server yang digunakan untuk bucket S3 yang terlibat dalam temuan.
detail.resource.s3BucketDetails
.0.name		 target.resource.name Nama bucket S3 yang terlibat dalam temuan.
detail.resource.s3BucketDetails
.0.owner.id		 target.resource.attribute.labels.value ID pemilik bucket S3 yang terlibat dalam temuan.
detail.resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value Izin efektif bucket S3 yang terlibat dalam temuan.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah daftar kontrol akses (ACL) mengizinkan akses baca publik.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah daftar kontrol akses (ACL) mengizinkan akses tulis publik.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah kebijakan bucket mengizinkan akses baca publik.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah kebijakan bucket mengizinkan akses tulis publik.
detail.resource.s3BucketDetails
.0.type		 target.resource.attribute.labels.value Jenis bucket S3 yang terlibat dalam temuan.
detail.service.action
.actionType		 principal.group.attribute.labels.value Jenis tindakan yang terkait dengan temuan.
detail.service.action
.awsApiCallAction.api		 principal.application Nama panggilan API AWS yang terlibat dalam temuan.
detail.service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Jenis pemanggil yang melakukan panggilan API AWS yang terlibat dalam temuan.
detail.service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Nama domain yang terkait dengan panggilan API AWS yang terlibat dalam temuan.
detail.service.action.awsApiCallAction
.remoteIpDetails.country.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lat		 target.location.region_latitude Garis lintang alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lon		 target.location.region_longitude Garis bujur alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
detail.service.action
.awsApiCallAction.remoteIpDetails.ipAddressV4		 target.ip Alamat IP yang melakukan panggilan API AWS yang terlibat dalam temuan.
detail.service.action
.awsApiCallAction.serviceName		 metadata.description Nama layanan AWS yang terlibat dalam temuan.
detail.service.action
.dnsRequestAction.blocked		 security_result.action Apakah permintaan DNS diblokir.
detail.service.action
.dnsRequestAction.domain		 principal.administrative_domain Nama domain yang terkait dengan permintaan DNS yang terlibat dalam temuan.
detail.service.action
.dnsRequestAction.protocol		 network.ip_protocol Protokol yang digunakan untuk permintaan DNS yang terlibat dalam temuan.
detail.service.action
.networkConnectionAction.blocked		 security_result.action Apakah koneksi jaringan diblokir.
detail.service.action
.networkConnectionAction.connectionDirection		 network.direction Arah koneksi jaringan yang terlibat dalam temuan.
detail.service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip Alamat IP lokal yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.localPortDetails
.port		 principal.port Port lokal yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Nama port lokal yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.protocol		 network.ip_protocol Protokol yang digunakan untuk koneksi jaringan yang terlibat dalam temuan.
detail.service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Nama kota yang terkait dengan alamat IP jarak jauh yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip Alamat IP jarak jauh yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.remotePortDetails
.port		 target.port Port jarak jauh yang terlibat dalam koneksi jaringan.
detail.service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Nama port jarak jauh yang terlibat dalam koneksi jaringan.
detail.service.action
.portProbeAction.blocked		 security_result.action Apakah pemeriksaan port diblokir.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.port		 target.port Port lokal yang diperiksa.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.portName		 principal.application Nama port lokal yang diperiksa.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.city.cityName		 target.location.city Nama kota yang terkait dengan alamat IP jarak jauh yang melakukan pemeriksaan port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.country.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang melakukan pemeriksaan port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lat		 target.location.region_latitude Garis lintang alamat IP jarak jauh yang melakukan pemeriksaan port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lon		 target.location.region_longitude Bujur alamat IP jarak jauh yang melakukan pemeriksaan port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip Alamat IP jarak jauh yang melakukan pemeriksaan port.
detail.service.additionalInfo
.threatListName		 security_result.threat_feed_name Nama daftar ancaman yang memicu temuan.
detail.service.additionalInfo
.threatName		 security_result.threat_name Nama ancaman yang memicu temuan.
detail.service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent String agen pengguna lengkap yang terkait dengan temuan.
detail.service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields.value Kategori agen pengguna yang terkait dengan temuan.
detail.service.additionalInfo
.value		 security_result.about
.resource.attribute.labels.value		 Informasi tambahan tentang temuan.
detail.title security_result.summary Judul singkat untuk temuan.
detail.type metadata.product_event_type Jenis temuan.
detail.updatedAt metadata.event_timestamp Waktu saat temuan terakhir diperbarui.
detail-type event.idm.read_only_udm
.additional.fields.value.string_value		 Jenis peristiwa yang memicu temuan.
partisi target.asset.attribute
.cloud.project.type		 Partisi AWS tempat temuan terjadi.
resource.accessKeyDetails principal.user Detail tentang kunci akses AWS yang terlibat dalam temuan.
resource.accessKeyDetails.accessKeyId principal.user.userid ID kunci akses AWS yang terlibat dalam temuan.
resource.accessKeyDetails.principalId principal.user.userid ID akun utama kunci akses AWS yang terlibat dalam temuan.
resource.accessKeyDetails.userType principal.user.attribute.roles.name Jenis pengguna yang terkait dengan kunci akses AWS yang terlibat dalam temuan.
resource.accessKeyDetails.userName principal.user.user_display_name Nama pengguna yang terkait dengan kunci akses AWS yang terlibat dalam temuan.
resource.instanceDetails.availabilityZone target.asset.attribute.cloud.availability_zone Zona ketersediaan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.imageDescription event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Deskripsi AMI yang digunakan untuk meluncurkan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.imageId event.idm.read_only_udm
.additional.fields.value.string_value		 ID AMI yang digunakan untuk meluncurkan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.iamInstanceProfile.arn		 target.resource.attribute.labels.value ARN profil instance IAM yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.iamInstanceProfile.id		 target.resource.attribute.labels.value ID profil instance IAM yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.instanceId target.resource.product_object_id ID instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.instanceState target.resource.attribute.labels.value Status instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.instanceType target.resource.attribute.labels.value Jenis instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.launchTime		 target.resource.attribute.creation_time Waktu peluncuran instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.networkInterfaceId		 target.resource.attribute.labels.value ID antarmuka jaringan yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.privateDnsName		 target.resource.attribute.labels.value Nama DNS pribadi antarmuka jaringan yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.publicDnsName		 target.resource.attribute.labels.value Nama DNS publik antarmuka jaringan yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.publicIp		 principal.ip Alamat IP publik antarmuka jaringan yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.privateIpAddress		 principal.ip Alamat IP pribadi antarmuka jaringan yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupId		 target.user.group_identifiers ID grup keamanan yang terkait dengan antarmuka jaringan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupName		 target.user.group_identifiers Nama grup keamanan yang terkait dengan antarmuka jaringan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.subnetId		 target.resource.attribute.labels.value ID subnet yang terkait dengan antarmuka jaringan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.networkInterfaces.0.vpcId		 target.asset.attribute.cloud.vpc.id ID VPC yang terkait dengan antarmuka jaringan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.outpostArn target.resource.attribute.labels.value ARN outpost yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.platform target.asset.platform_software.platform_version Platform instance EC2 yang terlibat dalam temuan.
resource.instanceDetails
.productCodes.0.productCodeType		 target.resource.type Jenis kode produk yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.instanceDetails.tags target.asset.attribute.labels Tag yang terkait dengan instance EC2 yang terlibat dalam temuan.
resource.kubernetesDetails
.kubernetesUserDetails.username		 principal.user.userid Nama pengguna Kubernetes yang terlibat dalam temuan.
resource.rdsDbInstanceDetails
.dbClusterIdentifier		 event.idm.read_only_udm
.target.resource_ancestors.product_object_id		 ID cluster DB RDS yang terlibat dalam temuan.
resource.rdsDbInstanceDetails
.dbInstanceArn		 target.resource.name ARN instance DB RDS yang terlibat dalam temuan.
resource.rdsDbInstanceDetails
.dbInstanceIdentifier		 target.resource.product_object_id ID instance DB RDS yang terlibat dalam temuan.
resource.rdsDbUserDetails.user principal.user.userid Nama pengguna DB RDS yang terlibat dalam temuan.
resource.resourceType target.resource.resource_subtype Jenis resource yang terlibat dalam temuan.
resource.s3BucketDetails principal.resource.attribute.labels Detail tentang bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails.0.arn target.resource.name ARN bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails.0.createdAt event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Waktu pembuatan bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails.0
.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Jenis enkripsi sisi server yang digunakan untuk bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails.0.name target.resource.name Nama bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails.0.owner.id target.resource.attribute.labels.value ID pemilik bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value Izin efektif bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk akun.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah daftar kontrol akses (ACL) mengizinkan akses baca publik.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah daftar kontrol akses (ACL) mengizinkan akses tulis publik.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah pemblokiran akses publik diaktifkan untuk bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah kebijakan bucket mengizinkan akses baca publik.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah kebijakan bucket mengizinkan akses tulis publik.
resource.s3BucketDetails.0.tags event.idm.read_only_udm
.principal.resource.attribute.labels		 Tag yang terkait dengan bucket S3 yang terlibat dalam temuan.
resource.s3BucketDetails.0.type target.resource.attribute.labels.value Jenis bucket S3 yang terlibat dalam temuan.
service.action
.actionType		 principal.group.attribute.labels.value Jenis tindakan yang terkait dengan temuan.
service.action
.awsApiCallAction.affectedResources
.AWS_CloudTrail_Trail		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Nama jejak AWS CloudTrail yang terlibat dalam temuan.
service.action
.awsApiCallAction.affectedResources
.AWS_S3_Bucket		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Nama bucket S3 yang terlibat dalam temuan.
service.action
.awsApiCallAction.api		 principal.application Nama panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Jenis pemanggil yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Nama domain yang terkait dengan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.errorCode		 security_result.rule_type Kode error yang terkait dengan panggilan AWS API yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude Garis lintang alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude Garis bujur alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip Alamat IP yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asn		 event.idm.read_only_udm
.additional.fields.value.string_value		 Autonomous System Number (ASN) organisasi yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asnOrg		 event.idm.read_only_udm
.additional.fields.value.string_value		 Nama organisasi yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.organization.isp		 event.idm.read_only_udm
.additional.fields.value.string_value		 Nama Internet Service Provider (ISP) yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.remoteIpDetails
.organization.org		 event.idm.read_only_udm
.additional.fields.value.string_value		 Nama organisasi yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API AWS yang terlibat dalam temuan.
service.action
.awsApiCallAction.serviceName		 metadata.description Nama layanan AWS yang terlibat dalam temuan.
service.action
.dnsRequestAction.blocked		 security_result.action Apakah permintaan DNS diblokir.
service.action
.dnsRequestAction.domain		 principal.administrative_domain Nama domain yang terkait dengan permintaan DNS yang terlibat dalam temuan.
service.action
.dnsRequestAction.protocol		 network.ip_protocol Protokol yang digunakan untuk permintaan DNS yang terlibat dalam temuan.
service.action
.kubernetesApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang melakukan panggilan API Kubernetes yang terlibat dalam temuan.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude Garis lintang alamat IP jarak jauh yang melakukan panggilan API Kubernetes yang terlibat dalam temuan.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude Garis bujur alamat IP jarak jauh yang melakukan panggilan API Kubernetes yang terlibat dalam temuan.
service.action
.kubernetesApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip Alamat IP yang melakukan panggilan API Kubernetes yang terlibat dalam temuan.
service.action
.networkConnectionAction.blocked		 security_result.action Apakah koneksi jaringan diblokir.
service.action
.networkConnectionAction.connectionDirection		 network.direction Arah koneksi jaringan yang terlibat dalam temuan.
service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip Alamat IP lokal yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.localPortDetails
.port		 principal.port Port lokal yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Nama port lokal yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.protocol		 network.ip_protocol Protokol yang digunakan untuk koneksi jaringan yang terlibat dalam temuan.
service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Nama kota yang terkait dengan alamat IP jarak jauh yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip Alamat IP jarak jauh yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.remotePortDetails
.port		 target.port Port jarak jauh yang terlibat dalam koneksi jaringan.
service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Nama port jarak jauh yang terlibat dalam koneksi jaringan.
service.action
.portProbeAction.blocked		 security_result.action Apakah pemeriksaan port diblokir.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.port		 target.port Port lokal yang diperiksa.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.portName		 principal.application Nama port lokal yang diperiksa.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.city
.cityName		 target.location.city Nama kota yang terkait dengan alamat IP jarak jauh yang melakukan pemeriksaan port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.country
.countryName		 target.location.country_or_region Nama negara yang terkait dengan alamat IP jarak jauh yang melakukan pemeriksaan port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lat		 target.location.region_latitude Garis lintang alamat IP jarak jauh yang melakukan pemeriksaan port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lon		 target.location.region_longitude Bujur alamat IP jarak jauh yang melakukan pemeriksaan port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip Alamat IP jarak jauh yang melakukan pemeriksaan port.
service.additionalInfo
.portsScannedSample		 event.idm.read_only_udm.about.port Contoh port yang dipindai.
service.additionalInfo
.recentCredentials		 event.idm.read_only_udm.intermediary Daftar kredensial terbaru yang digunakan.
service.additionalInfo.sample security_result.about
.labels.value		 Menunjukkan apakah temuan tersebut merupakan temuan sampel.
service.additionalInfo.threatListName security_result.threat_feed_name Nama daftar ancaman yang memicu temuan.
service.additionalInfo.threatName security_result.threat_name Nama ancaman yang memicu temuan.
service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent String agen pengguna lengkap yang terkait dengan temuan.
service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields
.value		 Kategori agen pengguna yang terkait dengan temuan.
service.additionalInfo.value security_result.about
.resource.attribute.labels.value		 Informasi tambahan tentang temuan.
service.archived event.idm.read_only_udm
.additional.fields.value.bool_value		 Apakah temuan diarsipkan.
service.count event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Frekuensi terjadinya peristiwa.
service.detectorId event.idm.read_only_udm
.additional.fields.value.string_value		 ID detektor GuardDuty yang menghasilkan temuan.
service.ebsVolumeScanDetails
.scanDetections
.threatDetectedByName.itemCount		 Jumlah total ancaman yang terdeteksi selama pemindaian volume EBS.
detail.service.detection.sequence.uid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
detail.service.detection.sequence.description event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
detail.service.additionalInfo.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.resourceUids event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.endpointIds event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.signalIndicators.values event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.uid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.description event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.createdAt event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.updatedAt event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.firstSeenAt event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.lastSeenAt event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.severity event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.count event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.domain event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.port event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.uid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.cloudPartition event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.data.ec2Instance.availabilityZone event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.data.ec2Instance.imageDescription event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.data.ec2Instance.instanceState event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.data.ec2Instance.instanceType event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.accountId event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.data.ec2Instance.ec2NetworkInterfaceUids event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
prodcode.productCodeId event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
prodcode.productCodeType event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.data.ec2Image.ec2InstanceUids event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource2.resourceType event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
sequenceIndicator.values event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
detail.createdAt event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
detail.id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.ip event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
detail.service.eventFirstSeen event.idm.read_only_udm.principal.asset.first_discover_time Dipetakan dari log perubahan
detail.service.eventLastSeen event.idm.read_only_udm.principal.asset.last_discover_time Dipetakan dari log perubahan
data.location event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
data.autonomousSystem event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
detail.associatedAttackSequenceArn event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
Record.requestParameters.bucketName event.idm.read_only_udm.target.resource.name Dipetakan dari log perubahan
Record.additionalEventData.bytesTransferredIn event.idm.read_only_udm.network.sent_bytes Dipetakan dari log perubahan
Record.additionalEventData.bytesTransferredOut event.idm.read_only_udm.network.received_bytes Dipetakan dari log perubahan
Record.userIdentity.userName event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
Record.userIdentity.accountId event.idm.read_only_udm.principal.user.group_identifiers Dipetakan dari log perubahan
Record_eventName event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
Record.requestParameters.encoding-type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
Record.requestParameters.delimiter event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
Record.additionalEventData.SignatureVersion event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
Record.additionalEventData.x-amz-id-2 event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
Record.requestParameters.prefix event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
resource event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
Record.recipientAccountId event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
Record.additionalEventData.AuthenticationMethod event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
awsAccountId event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
digestS3Object event.idm.read_only_udm.target.file.full_path Dipetakan dari log perubahan
digestS3Bucket event.idm.read_only_udm.target.resource.name Dipetakan dari log perubahan
digestPublicKeyFingerprint event.idm.read_only_udm.target.artifact.last_https_certificate.thumbprint_sha256 Dipetakan dari log perubahan
digestSignatureAlgorithm event.idm.read_only_udm.target.artifact.last_https_certificate.cert_signature.signature_algorithm Dipetakan dari log perubahan
previousDigestHashValue event.idm.read_only_udm.target.file.sha256 Dipetakan dari log perubahan
newestEventTime event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
oldestEventTime event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
previousDigestHashAlgorithm event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
previousDigestS3Bucket event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
previousDigestS3Object event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
actor_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resources_name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resources_accountId event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
sequenceIndicator.key event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
image event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
imageUid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
createdAt event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
containerUids event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
actors_path event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
actors_sha256 event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
associatedAttackSequenceArn event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
updatedAt event.idm.read_only_udm.metadata.collected_timestamp Dipetakan dari log perubahan
resources_region event.idm.read_only_udm.security_result.about.location.name Dipetakan dari log perubahan
actors_name event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
INBOUND event.idm.read_only_udm.network.direction Dipetakan dari log perubahan
status event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
vpcId event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
namespace event.idm.read_only_udm.principal.namespace Dipetakan dari log perubahan
remoteIpDetails_ipAddressV4 event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
remoteIpDetails_city_cityName event.idm.read_only_udm.principal.location.city Dipetakan dari log perubahan
remoteIPDetails_geoLocation_lat event.idm.read_only_udm.principal.location.region_latitude Dipetakan dari log perubahan
remoteIPDetails_geoLocation_lon event.idm.read_only_udm.principal.location.region_longitude Dipetakan dari log perubahan
remoteIPDetails_organization_asn event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
remoteIPDetails_organization_isp event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
remoteIPDetails_organization_asnOrg event.idm.read_only_udm.principal.network.organization_name Dipetakan dari log perubahan
remoteIPDetails_organization_org event.idm.read_only_udm.target.administrative_domain Dipetakan dari log perubahan
kubernetesApiCallAction_requestUri event.idm.read_only_udm.principal.url Dipetakan dari log perubahan
kubernetesApiCallAction_statusCode event.idm.read_only_udm.network.http.response_code Dipetakan dari log perubahan
kubernetesApiCallAction_userAgent event.idm.read_only_udm.network.http.user_agent Dipetakan dari log perubahan
kubernetesApiCallAction_userAgentOrg event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
unmapped_username event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
resource_uid event.idm.read_only_udm.principal.resource.id Dipetakan dari log perubahan
remoteIpDetails_ipAddressV4 event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesWorkloadDetails.namespace event.idm.read_only_udm.target.namespace Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesWorkloadDetails.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesWorkloadDetails.uid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesWorkloadDetails.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesWorkloadDetails.serviceAccountName event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesUserDetails.uid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
service.action.kubernetesApiCallAction.sourceIPs event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.executablePath event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.name event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.namespacePid event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.userId event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.uuid event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.euid event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.parentUuid event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.namespacePid event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.detectorId event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.startTime event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
service.runtimeDetails.process.euid event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
service.runtimeDetails.process.executableSha256 event.idm.read_only_udm.target.file.sha256 Dipetakan dari log perubahan
service.runtimeDetails.process.name event.idm.read_only_udm.target.process.file.names Dipetakan dari log perubahan
service.runtimeDetails.process.executablePath event.idm.read_only_udm.target.process.file.full_path Dipetakan dari log perubahan
service.runtimeDetails.process.pid event.idm.read_only_udm.target.process.pid Dipetakan dari log perubahan
service.runtimeDetails.process.uuid event.idm.read_only_udm.target.process.product_specific_process_id Dipetakan dari log perubahan
service.runtimeDetails.process.parentUuid event.idm.read_only_udm.target.process.parent_process.product_specific_process_id Dipetakan dari log perubahan
service.runtimeDetails.process.user event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
service.runtimeDetails.process.startTime event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
service.runtimeDetails.process.pwd event.idm.read_only_udm.target.file.full_path Dipetakan dari log perubahan
service.runtimeDetails.process.userId event.idm.read_only_udm.target.user.userid Dipetakan dari log perubahan
service.runtimeDetails.process.lineage.pid event.idm.read_only_udm.target.process.parent_process.pid Dipetakan dari log perubahan
detail.resource.kubernetesDetails.kubernetesUserDetails.username event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
"service.detection.sequence.signals" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.detection.sequence.actors" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.detection.sequence.endpoints" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.detection.sequence.resources" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.featureName" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.detectorId" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.resourceRole" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
and "service.serviceName" event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
"service.detection.sequence.endpoints.ip" event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
"service.detection.sequence.actors.user" event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
"schemaVersion" event.idm.read_only_udm.security_result.rule_version Dipetakan dari log perubahan
service.eventFirstSeen event.idm.read_only_udm.principal.asset.first_discover_time Dipetakan dari log perubahan
service.eventLastSeen event.idm.read_only_udm.principal.asset.last_discover_time Dipetakan dari log perubahan
service.additionalInfo.value security_result.about.resource.attribute.labels Dipetakan dari log perubahan
service.additionalInfo.unusualBehavior" and "service.additionalInfo.profiledBehavior security_result.about.resource.attribute.labels Dipetakan dari log perubahan
resource.eksClusterDetails.status", "resource.kubernetesDetails.kubernetesUserDetails.impersonatedUser", "resource.kubernetesDetails.kubernetesUserDetails.groups", "resource.kubernetesDetails.kubernetesUserDetails.sessionName", "service.action.kubernetesApiCallAction.verb", "service.detection.anomaly.profiles.namespace.asnInfo", "service.detection.anomaly.profiles.namespace.userAgent", "service.detection.anomaly.profiles.namespace.dayOfWeek", "service.detection.anomaly.profiles.namespace.impersonatedUsername", "service.detection.anomaly.profiles.namespace.api", "service.detection.anomaly.profiles.namespace.username", "service.detection.anomaly.profiles.cluster.asnInfo", "service.detection.anomaly.profiles.cluster.userAgent", "service.detection.anomaly.profiles.cluster.dayOfWeek", "service.detection.anomaly.profiles.cluster.impersonatedUsername", "service.detection.anomaly.profiles.cluster.api", "service.detection.anomaly.profiles.cluster.username", "service.detection.anomaly.profiles.account.asnInfo", "service.detection.anomaly.profiles.account.userAgent", "service.detection.anomaly.profiles.account.dayOfWeek", "service.detection.anomaly.profiles.account.impersonatedUsername", "service.detection.anomaly.profiles.account.api", "service.detection.anomaly.profiles.account.username", "service.detection.anomaly.profiles.username.asnInfo", "service.detection.anomaly.profiles.username.userAgent", "service.detection.anomaly.profiles.username.dayOfWeek", "service.detection.anomaly.profiles.username.impersonatedUsername", "service.detection.anomaly.profiles.username.api", "service.detection.anomaly.profiles.username.username", "service.detection.anomaly.unusual.behavior.namespace.asnInfo", "service.detection.anomaly.unusual.behavior.namespace.userAgent", "service.detection.anomaly.unusual.behavior.namespace.dayOfWeek", "service.detection.anomaly.unusual.behavior.namespace.impersonatedUsername", "service.detection.anomaly.unusual.behavior.namespace.api", "service.detection.anomaly.unusual.behavior.namespace.username", "service.detection.anomaly.unusual.behavior.cluster.asnInfo", "service.detection.anomaly.unusual.behavior.cluster.userAgent", "service.detection.anomaly.unusual.behavior.cluster.dayOfWeek", "service.detection.anomaly.unusual.behavior.cluster.impersonatedUsername", "service.detection.anomaly.unusual.behavior.cluster.api", "service.detection.anomaly.unusual.behavior.cluster.username", "service.detection.anomaly.unusual.behavior.account.asnInfo", "service.detection.anomaly.unusual.behavior.account.userAgent", "service.detection.anomaly.unusual.behavior.account.dayOfWeek", "service.detection.anomaly.unusual.behavior.account.impersonatedUsername", "service.detection.anomaly.unusual.behavior.account.api", "service.detection.anomaly.unusual.behavior.account.username", "service.detection.anomaly.unusual.behavior.username.asnInfo", "service.detection.anomaly.unusual.behavior.username.userAgent", "service.detection.anomaly.unusual.behavior.username.dayOfWeek", "service.detection.anomaly.unusual.behavior.username.impersonatedUsername", "service.detection.anomaly.unusual.behavior.username.api", and "service.detection.anomaly.unusual.behavior.username.username additional.fields Dipetakan dari log perubahan
service.action.kubernetesApiCallAction.statusCode network.http.response_code Dipetakan dari log perubahan
resource.eksClusterDetails.vpcId principal.cloud.vpc.id Dipetakan dari log perubahan
service.action.kubernetesApiCallAction.namespace principal.namespace Dipetakan dari log perubahan
service.action.kubernetesApiCallAction.requestUri target.url Dipetakan dari log perubahan
service.action.awsApiCallAction.domainDetails.domain network.dns.questions.name Dipetakan dari log perubahan
service.action.awsApiCallAction.affectedResources.AWS_CloudTrail_Trail principal.resource.attribute.labels Dipetakan dari log perubahan
resource.eksClusterDetails.createdAt target.resource.attribute.labels Dipetakan dari log perubahan
resource.s3BucketDetails.createdAt principal.resource.attribute.labels Dipetakan dari log perubahan
resource.eksClusterDetails.tags target.resource.attribute.labels Dipetakan dari log perubahan
resource.s3BucketDetails.tags principal.resource.attribute.labels Dipetakan dari log perubahan
threatdetails.threatListName security_result.threat_feed_name Dipetakan dari log perubahan
T1071 technique_label.value Dipetakan dari log perubahan
T1078 technique_label.value Dipetakan dari log perubahan
T1087 technique_label.value Dipetakan dari log perubahan
T1098 technique_label.value Dipetakan dari log perubahan
T1110 technique_label.value Dipetakan dari log perubahan
T1133 technique_label.value Dipetakan dari log perubahan
T1189 technique_label.value Dipetakan dari log perubahan
T1484 technique_label.value Dipetakan dari log perubahan
T1496 technique_label.value Dipetakan dari log perubahan
T1498 technique_label.value Dipetakan dari log perubahan
T1526 technique_label.value Dipetakan dari log perubahan
T1538 technique_label.value Dipetakan dari log perubahan
T1552 technique_label.value Dipetakan dari log perubahan
T1555 technique_label.value Dipetakan dari log perubahan
T1562 technique_label.value Dipetakan dari log perubahan
T1565 technique_label.value Dipetakan dari log perubahan
T1566 technique_label.value Dipetakan dari log perubahan
T1567 technique_label.value Dipetakan dari log perubahan
T1568 technique_label.value Dipetakan dari log perubahan
T1589 technique_label.value Dipetakan dari log perubahan
T1595 technique_label.value Dipetakan dari log perubahan
Reconnaissance tatic_label.value Dipetakan dari log perubahan
ResourceDevelopment tatic_label.value Dipetakan dari log perubahan
InitialAccess tatic_label.value Dipetakan dari log perubahan
Execution tatic_label.value Dipetakan dari log perubahan
Persistence tatic_label.value Dipetakan dari log perubahan
PrivilegeEscalation tatic_label.value Dipetakan dari log perubahan
DefenseEvasion tatic_label.value Dipetakan dari log perubahan
CredentialAccess tatic_label.value Dipetakan dari log perubahan
Discovery tatic_label.value Dipetakan dari log perubahan
LateralMovement tatic_label.value Dipetakan dari log perubahan
Collection tatic_label.value Dipetakan dari log perubahan
CommandAndControl tatic_label.value Dipetakan dari log perubahan
Exfiltration tatic_label.value Dipetakan dari log perubahan
Impact tatic_label.value Dipetakan dari log perubahan
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.hash principal.file.sha256 Dipetakan dari log perubahan
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.filePath principal.file.full_path Dipetakan dari log perubahan
service.action.dnsRequestAction.domain network.dns.questions.name Dipetakan dari log perubahan
resource.kubernetesDetails.kubernetesUserDetails.username principal.user.userid Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.