Raccogli i log di AWS GuardDuty

Versione parser: 22.0

Supportato in:

Questo documento descrive come raccogliere i log di AWS GuardDuty configurando un feed Google Security Operations.

Per saperne di più, consulta Acquisizione dei dati in Google Security Operations.

Un'etichetta di importazione identifica il parser che normalizza i dati dei log non elaborati nel formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione GUARDDUTY.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

Configura AWS GuardDuty

Per configurare AWS GuardDuty, segui questi passaggi:

  1. Accedi alla console AWS.
  2. Cerca GuardDuty.
  3. Seleziona Settings (Impostazioni).

  4. Nella sezione Opzione di esportazione dei risultati, segui questi passaggi:

    1. Dall'elenco Frequenza per i risultati aggiornati, seleziona Aggiorna CWE e S3 ogni 15 minuti. La selezione della frequenza riguarda i risultati aggiornati. I nuovi risultati vengono esportati dopo 5 minuti dalla creazione.
    2. Nella sezione Bucket S3, seleziona il bucket S3 in cui vuoi esportare i risultati di GuardDuty.
    3. Nella sezione Prefisso file di log, fornisci il prefisso del file di log.
    4. Nella sezione Crittografia KMS, seleziona la crittografia KMS.
    5. Nell'elenco Alias chiave, seleziona la chiave.
    6. Fai clic su Salva.

  5. Dopo aver archiviato i file di log nel bucket S3, crea una coda SQS e collegala al bucket S3.

Esempio di policy KMS

Di seguito è riportata una policy KMS di esempio:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Sostituisci quanto segue:

  • AWS_REGION: la regione scelta.
  • KEY_ARN: Amazon Resource Name (ARN) della chiave KMS.

Controlla le policy richieste per l'utente IAM e la chiave KMS per S3, SQS e KMS.

In base al servizio e alla regione, identifica gli endpoint per la connettività facendo riferimento alla seguente documentazione di AWS:

Configura i feed

Per configurare un feed:

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il nome feed.
  5. Seleziona Amazon S3 V2 o Amazon SQS V2 come Tipo di origine.
  6. Seleziona AWS GuardDuty come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.
  8. Google Security Operations supporta la raccolta dei log utilizzando un ID chiave di accesso e un metodo secret. Per creare l'ID chiave di accesso e il secret, consulta Configurare l'autenticazione dello strumento con AWS.

  9. In base alla configurazione di AWS GuardDuty che hai creato, specifica i valori per i seguenti campi.

    1. Se utilizzi Amazon S3 V2

      • **URI S3**
      • **Opzione di eliminazione della fonte**
      • **Età massima del file**

    2. Se utilizzi Amazon SQS V2
      • Nome coda
      • Numero di conto bancario
      • ID chiave di accesso alla coda
      • Chiave di accesso segreta della coda
      • Opzione di eliminazione dell'origine
      • Età massima dei file

  10. Fai clic su Avanti e poi su Invia.

Per saperne di più sui feed di Google Security Operations, consulta la documentazione sui feed di Google Security Operations. Per informazioni sui requisiti di ogni tipo di feed, consulta Configurazione dei feed per tipo. Se riscontri problemi durante la creazione dei feed, contatta l'assistenza di Google Security Operations.

Riferimento per la mappatura dei campi

Questo codice del parser elabora i risultati di AWS GuardDuty in formato JSON, estraendo i campi pertinenti e mappandoli a un modello dei dati unificato (UDM). Esegue trasformazioni dei dati, tra cui sostituzioni di stringhe, unione di array e conversione di tipi di dati, per creare una rappresentazione strutturata dell'evento di sicurezza per l'analisi e la correlazione.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
accountId principal.group.product_object_id L'ID account AWS associato al risultato.
additionalInfo.portsScannedSample event.idm.read_only_udm.about.port Elenco delle porte analizzate durante una scansione delle porte.
additionalInfo.sample security_result.about.labels.value Indica se il risultato è un risultato di esempio.
additionalInfo.threatListName security_result.threat_feed_name Il nome dell'elenco delle minacce che ha attivato il risultato.
additionalInfo.threatName security_result.threat_name Il nome della minaccia che ha attivato il risultato.
additionalInfo.userAgent
.fullUserAgent		 network.http.user_agent La stringa completa dello user agent associata al risultato.
additionalInfo.userAgent
.userAgentCategory		 security_result.detection_fields.value La categoria dello user agent associato al risultato.
arn target.asset.attribute
.cloud.project.product_object_id		 L'Amazon Resource Name (ARN) del risultato.
detail.accountId principal.group.product_object_id L'ID account AWS associato al risultato.
detail.description security_result.description Una descrizione dettagliata del risultato.
detail.id target.asset.attribute.cloud.project.id Un ID univoco per il risultato.
detail.resource.accessKeyDetails principal.user Dettagli sulla chiave di accesso AWS coinvolta nel risultato.
detail.resource.accessKeyDetails
.accessKeyId		 principal.user.userid L'ID della chiave di accesso AWS coinvolta nel problema.
detail.resource.accessKeyDetails
.principalId		 principal.user.userid L'ID entità della chiave di accesso AWS coinvolta nel risultato.
detail.resource.accessKeyDetails
.userType		 principal.user.attribute.roles.name Il tipo di utente associato alla chiave di accesso AWS coinvolta nel risultato.
detail.resource.accessKeyDetails
.userName		 principal.user.user_display_name Il nome dell'utente associato alla chiave di accesso AWS coinvolta nel risultato.
detail.resource.s3BucketDetails
.0.arn		 target.resource.name L'ARN del bucket S3 coinvolto nel risultato.
detail.resource.s3BucketDetails
.0.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Il tipo di crittografia lato server utilizzato per il bucket S3 coinvolto nel risultato.
detail.resource.s3BucketDetails
.0.name		 target.resource.name Il nome del bucket S3 coinvolto nel risultato.
detail.resource.s3BucketDetails
.0.owner.id		 target.resource.attribute.labels.value L'ID del proprietario del bucket S3 coinvolto nel risultato.
detail.resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value L'autorizzazione effettiva del bucket S3 coinvolto nel risultato.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se l'elenco di controllo dell'accesso (ACL) consente l'accesso in lettura pubblico.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se l'elenco di controllo dell'accesso (ACL) consente l'accesso in scrittura pubblico.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi di accesso pubblico sono abilitati per il bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per il bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi di accesso pubblico sono abilitati per il bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per il bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Se il criterio del bucket consente l'accesso in lettura pubblico.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se il criterio del bucket consente l'accesso in scrittura pubblico.
detail.resource.s3BucketDetails
.0.type		 target.resource.attribute.labels.value Il tipo di bucket S3 coinvolto nel risultato.
detail.service.action
.actionType		 principal.group.attribute.labels.value Il tipo di azione associata al risultato.
detail.service.action
.awsApiCallAction.api		 principal.application Il nome della chiamata API AWS coinvolta nel risultato.
detail.service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Il tipo di chiamante che ha effettuato la chiamata API AWS coinvolta nel risultato.
detail.service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Il nome di dominio associato alla chiamata API AWS coinvolta nel risultato.
detail.service.action.awsApiCallAction
.remoteIpDetails.country.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lat		 target.location.region_latitude La latitudine dell'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lon		 target.location.region_longitude La longitudine dell'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
detail.service.action
.awsApiCallAction.remoteIpDetails.ipAddressV4		 target.ip L'indirizzo IP che ha effettuato la chiamata API AWS coinvolta nel risultato.
detail.service.action
.awsApiCallAction.serviceName		 metadata.description Il nome del servizio AWS coinvolto nel risultato.
detail.service.action
.dnsRequestAction.blocked		 security_result.action Indica se la richiesta DNS è stata bloccata.
detail.service.action
.dnsRequestAction.domain		 principal.administrative_domain Il nome di dominio associato alla richiesta DNS coinvolta nel risultato.
detail.service.action
.dnsRequestAction.protocol		 network.ip_protocol Il protocollo utilizzato per la richiesta DNS coinvolta nel risultato.
detail.service.action
.networkConnectionAction.blocked		 security_result.action Indica se la connessione di rete è stata bloccata.
detail.service.action
.networkConnectionAction.connectionDirection		 network.direction La direzione della connessione di rete coinvolta nel risultato.
detail.service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip L'indirizzo IP locale coinvolto nella connessione di rete.
detail.service.action
.networkConnectionAction.localPortDetails
.port		 principal.port La porta locale coinvolta nella connessione di rete.
detail.service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Il nome della porta locale coinvolta nella connessione di rete.
detail.service.action
.networkConnectionAction.protocol		 network.ip_protocol Il protocollo utilizzato per la connessione di rete coinvolta nel risultato.
detail.service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Il nome della città associato all'indirizzo IP remoto coinvolto nella connessione di rete.
detail.service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto coinvolto nella connessione di rete.
detail.service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip L'indirizzo IP remoto coinvolto nella connessione di rete.
detail.service.action
.networkConnectionAction.remotePortDetails
.port		 target.port La porta remota coinvolta nella connessione di rete.
detail.service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Il nome della porta remota coinvolta nella connessione di rete.
detail.service.action
.portProbeAction.blocked		 security_result.action Se il probe della porta è stato bloccato.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.port		 target.port La porta locale sottoposta a probe.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.portName		 principal.application Il nome della porta locale sottoposta a probe.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.city.cityName		 target.location.city Il nome della città associata all'indirizzo IP remoto che ha eseguito il test della porta.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.country.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto che ha eseguito il probe della porta.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lat		 target.location.region_latitude La latitudine dell'indirizzo IP remoto che ha eseguito il probe della porta.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lon		 target.location.region_longitude La longitudine dell'indirizzo IP remoto che ha eseguito il test della porta.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip L'indirizzo IP remoto che ha eseguito il probe della porta.
detail.service.additionalInfo
.threatListName		 security_result.threat_feed_name Il nome dell'elenco delle minacce che ha attivato il risultato.
detail.service.additionalInfo
.threatName		 security_result.threat_name Il nome della minaccia che ha attivato il risultato.
detail.service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent La stringa completa dello user agent associata al problema.
detail.service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields.value La categoria dello user agent associato al risultato.
detail.service.additionalInfo
.value		 security_result.about
.resource.attribute.labels.value		 Informazioni aggiuntive sul risultato.
detail.title security_result.summary Un titolo breve per il risultato.
detail.type metadata.product_event_type Il tipo di risultato.
detail.updatedAt metadata.event_timestamp Data/ora dell'ultimo aggiornamento del risultato.
detail-type event.idm.read_only_udm
.additional.fields.value.string_value		 Il tipo di evento che ha attivato il risultato.
partizione target.asset.attribute
.cloud.project.type		 La partizione AWS in cui si è verificato il risultato.
resource.accessKeyDetails principal.user Dettagli sulla chiave di accesso AWS coinvolta nel risultato.
resource.accessKeyDetails.accessKeyId principal.user.userid L'ID della chiave di accesso AWS coinvolta nel problema.
resource.accessKeyDetails.principalId principal.user.userid L'ID entità della chiave di accesso AWS coinvolta nel risultato.
resource.accessKeyDetails.userType principal.user.attribute.roles.name Il tipo di utente associato alla chiave di accesso AWS coinvolta nel risultato.
resource.accessKeyDetails.userName principal.user.user_display_name Il nome dell'utente associato alla chiave di accesso AWS coinvolta nel risultato.
resource.instanceDetails.availabilityZone target.asset.attribute.cloud.availability_zone La zona di disponibilità dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.imageDescription event.idm.read_only_udm
.principal.resource.attribute.labels.value		 La descrizione dell'AMI utilizzata per avviare l'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.imageId event.idm.read_only_udm
.additional.fields.value.string_value		 L'ID dell'AMI utilizzata per avviare l'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.iamInstanceProfile.arn		 target.resource.attribute.labels.value L'ARN del profilo dell'istanza IAM associato all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.iamInstanceProfile.id		 target.resource.attribute.labels.value L'ID del profilo dell'istanza IAM associato all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.instanceId target.resource.product_object_id L'ID dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.instanceState target.resource.attribute.labels.value Lo stato dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.instanceType target.resource.attribute.labels.value Il tipo di istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.launchTime		 target.resource.attribute.creation_time L'ora in cui è stata avviata l'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.networkInterfaceId		 target.resource.attribute.labels.value L'ID dell'interfaccia di rete associata all'istanza EC2 coinvolta nel problema.
resource.instanceDetails
.networkInterfaces.0.privateDnsName		 target.resource.attribute.labels.value Il nome DNS privato dell'interfaccia di rete associata all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.publicDnsName		 target.resource.attribute.labels.value Il nome DNS pubblico dell'interfaccia di rete associata all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.publicIp		 principal.ip L'indirizzo IP pubblico dell'interfaccia di rete associata all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.privateIpAddress		 principal.ip L'indirizzo IP privato dell'interfaccia di rete associata all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupId		 target.user.group_identifiers L'ID del gruppo di sicurezza associato all'interfaccia di rete dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupName		 target.user.group_identifiers Il nome del gruppo di sicurezza associato all'interfaccia di rete dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.subnetId		 target.resource.attribute.labels.value L'ID della subnet associata all'interfaccia di rete dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.networkInterfaces.0.vpcId		 target.asset.attribute.cloud.vpc.id L'ID del VPC associato all'interfaccia di rete dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.outpostArn target.resource.attribute.labels.value L'ARN dell'outpost associato all'istanza EC2 coinvolta nel risultato.
resource.instanceDetails.platform target.asset.platform_software.platform_version La piattaforma dell'istanza EC2 coinvolta nel risultato.
resource.instanceDetails
.productCodes.0.productCodeType		 target.resource.type Il tipo di codice prodotto associato all'istanza EC2 coinvolta nel problema.
resource.instanceDetails.tags target.asset.attribute.labels I tag associati all'istanza EC2 coinvolta nel risultato.
resource.kubernetesDetails
.kubernetesUserDetails.username		 principal.user.userid Il nome utente dell'utente Kubernetes coinvolto nel risultato.
resource.rdsDbInstanceDetails
.dbClusterIdentifier		 event.idm.read_only_udm
.target.resource_ancestors.product_object_id		 L'identificatore del cluster di database RDS coinvolto nel risultato.
resource.rdsDbInstanceDetails
.dbInstanceArn		 target.resource.name L'ARN dell'istanza DB RDS coinvolta nel risultato.
resource.rdsDbInstanceDetails
.dbInstanceIdentifier		 target.resource.product_object_id L'identificatore dell'istanza DB RDS coinvolta nel risultato.
resource.rdsDbUserDetails.user principal.user.userid Il nome utente dell'utente del database RDS coinvolto nel problema.
resource.resourceType target.resource.resource_subtype Il tipo di risorsa coinvolta nel risultato.
resource.s3BucketDetails principal.resource.attribute.labels Dettagli sul bucket S3 coinvolto nel risultato.
resource.s3BucketDetails.0.arn target.resource.name L'ARN del bucket S3 coinvolto nel risultato.
resource.s3BucketDetails.0.createdAt event.idm.read_only_udm
.principal.resource.attribute.labels.value		 L'ora in cui è stato creato il bucket S3 coinvolto nel risultato.
resource.s3BucketDetails.0
.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Il tipo di crittografia lato server utilizzato per il bucket S3 coinvolto nel risultato.
resource.s3BucketDetails.0.name target.resource.name Il nome del bucket S3 coinvolto nel risultato.
resource.s3BucketDetails.0.owner.id target.resource.attribute.labels.value L'ID del proprietario del bucket S3 coinvolto nel risultato.
resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value L'autorizzazione effettiva del bucket S3 coinvolto nel risultato.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per l'account.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se l'elenco di controllo dell'accesso (ACL) consente l'accesso in lettura pubblico.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se l'elenco di controllo dell'accesso (ACL) consente l'accesso in scrittura pubblico.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi di accesso pubblico sono abilitati per il bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per il bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi dell'accesso pubblico sono abilitati per il bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se i blocchi di accesso pubblico sono abilitati per il bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Se la policy del bucket consente l'accesso in lettura pubblico.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se la policy del bucket consente l'accesso in scrittura pubblico.
resource.s3BucketDetails.0.tags event.idm.read_only_udm
.principal.resource.attribute.labels		 I tag associati al bucket S3 coinvolto nel risultato.
resource.s3BucketDetails.0.type target.resource.attribute.labels.value Il tipo di bucket S3 coinvolto nel risultato.
service.action
.actionType		 principal.group.attribute.labels.value Il tipo di azione associata al risultato.
service.action
.awsApiCallAction.affectedResources
.AWS_CloudTrail_Trail		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Il nome del trail AWS CloudTrail coinvolto nel risultato.
service.action
.awsApiCallAction.affectedResources
.AWS_S3_Bucket		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Il nome del bucket S3 coinvolto nel risultato.
service.action
.awsApiCallAction.api		 principal.application Il nome della chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Il tipo di chiamante che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Il nome di dominio associato alla chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.errorCode		 security_result.rule_type Il codice di errore associato alla chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude La latitudine dell'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude La longitudine dell'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip L'indirizzo IP che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asn		 event.idm.read_only_udm
.additional.fields.value.string_value		 Il numero di sistema autonomo (ASN) dell'organizzazione associata all'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asnOrg		 event.idm.read_only_udm
.additional.fields.value.string_value		 Il nome dell'organizzazione associata all'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.organization.isp		 event.idm.read_only_udm
.additional.fields.value.string_value		 Il nome del provider di servizi internet (ISP) associato all'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.remoteIpDetails
.organization.org		 event.idm.read_only_udm
.additional.fields.value.string_value		 Il nome dell'organizzazione associata all'indirizzo IP remoto che ha effettuato la chiamata API AWS coinvolta nel risultato.
service.action
.awsApiCallAction.serviceName		 metadata.description Il nome del servizio AWS coinvolto nel risultato.
service.action
.dnsRequestAction.blocked		 security_result.action Se la richiesta DNS è stata bloccata.
service.action
.dnsRequestAction.domain		 principal.administrative_domain Il nome di dominio associato alla richiesta DNS coinvolta nel risultato.
service.action
.dnsRequestAction.protocol		 network.ip_protocol Il protocollo utilizzato per la richiesta DNS coinvolta nel risultato.
service.action
.kubernetesApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto che ha effettuato la chiamata API Kubernetes coinvolta nel risultato.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude La latitudine dell'indirizzo IP remoto che ha effettuato la chiamata API Kubernetes coinvolta nel risultato.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude La longitudine dell'indirizzo IP remoto che ha effettuato la chiamata API Kubernetes coinvolta nel risultato.
service.action
.kubernetesApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip L'indirizzo IP che ha effettuato la chiamata API Kubernetes coinvolta nel risultato.
service.action
.networkConnectionAction.blocked		 security_result.action Indica se la connessione di rete è stata bloccata.
service.action
.networkConnectionAction.connectionDirection		 network.direction La direzione della connessione di rete coinvolta nel risultato.
service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip L'indirizzo IP locale coinvolto nella connessione di rete.
service.action
.networkConnectionAction.localPortDetails
.port		 principal.port La porta locale coinvolta nella connessione di rete.
service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Il nome della porta locale coinvolta nella connessione di rete.
service.action
.networkConnectionAction.protocol		 network.ip_protocol Il protocollo utilizzato per la connessione di rete coinvolta nel risultato.
service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Il nome della città associata all'indirizzo IP remoto coinvolto nella connessione di rete.
service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto coinvolto nella connessione di rete.
service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip L'indirizzo IP remoto coinvolto nella connessione di rete.
service.action
.networkConnectionAction.remotePortDetails
.port		 target.port La porta remota coinvolta nella connessione di rete.
service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Il nome della porta remota coinvolta nella connessione di rete.
service.action
.portProbeAction.blocked		 security_result.action Indica se il probe della porta è stato bloccato.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.port		 target.port La porta locale sottoposta a probe.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.portName		 principal.application Il nome della porta locale sottoposta a probe.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.city
.cityName		 target.location.city Il nome della città associata all'indirizzo IP remoto che ha eseguito il probe della porta.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.country
.countryName		 target.location.country_or_region Il nome del paese associato all'indirizzo IP remoto che ha eseguito il probe della porta.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lat		 target.location.region_latitude La latitudine dell'indirizzo IP remoto che ha eseguito il probe della porta.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lon		 target.location.region_longitude La longitudine dell'indirizzo IP remoto che ha eseguito il probe della porta.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip L'indirizzo IP remoto che ha eseguito il probe della porta.
service.additionalInfo
.portsScannedSample		 event.idm.read_only_udm.about.port Un campione delle porte analizzate.
service.additionalInfo
.recentCredentials		 event.idm.read_only_udm.intermediary Un elenco delle credenziali utilizzate di recente.
service.additionalInfo.sample security_result.about
.labels.value		 Indica se il risultato è un risultato di esempio.
service.additionalInfo.threatListName security_result.threat_feed_name Il nome dell'elenco di minacce che ha attivato il risultato.
service.additionalInfo.threatName security_result.threat_name Il nome della minaccia che ha attivato il risultato.
service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent La stringa completa dello user agent associata al risultato.
service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields
.value		 La categoria dello user agent associato al risultato.
service.additionalInfo.value security_result.about
.resource.attribute.labels.value		 Informazioni aggiuntive sul risultato.
service.archived event.idm.read_only_udm
.additional.fields.value.bool_value		 Indica se il risultato è archiviato.
service.count event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Il numero di volte in cui si è verificato l'evento.
service.detectorId event.idm.read_only_udm
.additional.fields.value.string_value		 L'ID del rilevatore GuardDuty che ha generato il risultato.
service.ebsVolumeScanDetails
.scanDetections
.threatDetectedByName.itemCount		 Il numero totale di minacce rilevate durante la scansione del volume EBS.
detail.service.detection.sequence.uid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
detail.service.detection.sequence.description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
detail.service.additionalInfo.type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.resourceUids event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.endpointIds event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.signalIndicators.values event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.uid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.createdAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.updatedAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.firstSeenAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.lastSeenAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.count event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.domain event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.port event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.uid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.cloudPartition event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.data.ec2Instance.availabilityZone event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.data.ec2Instance.imageDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.data.ec2Instance.instanceState event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.data.ec2Instance.instanceType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.accountId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.data.ec2Instance.ec2NetworkInterfaceUids event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
prodcode.productCodeId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
prodcode.productCodeType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.data.ec2Image.ec2InstanceUids event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource2.resourceType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sequenceIndicator.values event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
detail.createdAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
detail.id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data.ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
detail.service.eventFirstSeen event.idm.read_only_udm.principal.asset.first_discover_time Mappato dal log delle modifiche
detail.service.eventLastSeen event.idm.read_only_udm.principal.asset.last_discover_time Mappato dal log delle modifiche
data.location event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
data.autonomousSystem event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
detail.associatedAttackSequenceArn event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Record.requestParameters.bucketName event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
Record.additionalEventData.bytesTransferredIn event.idm.read_only_udm.network.sent_bytes Mappato dal log delle modifiche
Record.additionalEventData.bytesTransferredOut event.idm.read_only_udm.network.received_bytes Mappato dal log delle modifiche
Record.userIdentity.userName event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
Record.userIdentity.accountId event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
Record_eventName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Record.requestParameters.encoding-type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Record.requestParameters.delimiter event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Record.additionalEventData.SignatureVersion event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Record.additionalEventData.x-amz-id-2 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Record.requestParameters.prefix event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
resource event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
Record.recipientAccountId event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
Record.additionalEventData.AuthenticationMethod event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
awsAccountId event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
digestS3Object event.idm.read_only_udm.target.file.full_path Mappato dal log delle modifiche
digestS3Bucket event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
digestPublicKeyFingerprint event.idm.read_only_udm.target.artifact.last_https_certificate.thumbprint_sha256 Mappato dal log delle modifiche
digestSignatureAlgorithm event.idm.read_only_udm.target.artifact.last_https_certificate.cert_signature.signature_algorithm Mappato dal log delle modifiche
previousDigestHashValue event.idm.read_only_udm.target.file.sha256 Mappato dal log delle modifiche
newestEventTime event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
oldestEventTime event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
previousDigestHashAlgorithm event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
previousDigestS3Bucket event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
previousDigestS3Object event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
actor_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resources_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resources_accountId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sequenceIndicator.key event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
image event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
imageUid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
createdAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
containerUids event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
actors_path event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
actors_sha256 event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
associatedAttackSequenceArn event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
updatedAt event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
resources_region event.idm.read_only_udm.security_result.about.location.name Mappato dal log delle modifiche
actors_name event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
INBOUND event.idm.read_only_udm.network.direction Mappato dal log delle modifiche
status event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
vpcId event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
namespace event.idm.read_only_udm.principal.namespace Mappato dal log delle modifiche
remoteIpDetails_ipAddressV4 event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
remoteIpDetails_city_cityName event.idm.read_only_udm.principal.location.city Mappato dal log delle modifiche
remoteIPDetails_geoLocation_lat event.idm.read_only_udm.principal.location.region_latitude Mappato dal log delle modifiche
remoteIPDetails_geoLocation_lon event.idm.read_only_udm.principal.location.region_longitude Mappato dal log delle modifiche
remoteIPDetails_organization_asn event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
remoteIPDetails_organization_isp event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
remoteIPDetails_organization_asnOrg event.idm.read_only_udm.principal.network.organization_name Mappato dal log delle modifiche
remoteIPDetails_organization_org event.idm.read_only_udm.target.administrative_domain Mappato dal log delle modifiche
kubernetesApiCallAction_requestUri event.idm.read_only_udm.principal.url Mappato dal log delle modifiche
kubernetesApiCallAction_statusCode event.idm.read_only_udm.network.http.response_code Mappato dal log delle modifiche
kubernetesApiCallAction_userAgent event.idm.read_only_udm.network.http.user_agent Mappato dal log delle modifiche
kubernetesApiCallAction_userAgentOrg event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
unmapped_username event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
resource_uid event.idm.read_only_udm.principal.resource.id Mappato dal log delle modifiche
remoteIpDetails_ipAddressV4 event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesWorkloadDetails.namespace event.idm.read_only_udm.target.namespace Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesWorkloadDetails.name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesWorkloadDetails.uid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesWorkloadDetails.type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesWorkloadDetails.serviceAccountName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesUserDetails.uid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
service.action.kubernetesApiCallAction.sourceIPs event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.executablePath event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.name event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.namespacePid event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.userId event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.uuid event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.euid event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.parentUuid event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.namespacePid event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.detectorId event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.startTime event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
service.runtimeDetails.process.euid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
service.runtimeDetails.process.executableSha256 event.idm.read_only_udm.target.file.sha256 Mappato dal log delle modifiche
service.runtimeDetails.process.name event.idm.read_only_udm.target.process.file.names Mappato dal log delle modifiche
service.runtimeDetails.process.executablePath event.idm.read_only_udm.target.process.file.full_path Mappato dal log delle modifiche
service.runtimeDetails.process.pid event.idm.read_only_udm.target.process.pid Mappato dal log delle modifiche
service.runtimeDetails.process.uuid event.idm.read_only_udm.target.process.product_specific_process_id Mappato dal log delle modifiche
service.runtimeDetails.process.parentUuid event.idm.read_only_udm.target.process.parent_process.product_specific_process_id Mappato dal log delle modifiche
service.runtimeDetails.process.user event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
service.runtimeDetails.process.startTime event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
service.runtimeDetails.process.pwd event.idm.read_only_udm.target.file.full_path Mappato dal log delle modifiche
service.runtimeDetails.process.userId event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
service.runtimeDetails.process.lineage.pid event.idm.read_only_udm.target.process.parent_process.pid Mappato dal log delle modifiche
detail.resource.kubernetesDetails.kubernetesUserDetails.username event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
"service.detection.sequence.signals" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.detection.sequence.actors" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.detection.sequence.endpoints" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.detection.sequence.resources" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.featureName" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.detectorId" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.resourceRole" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
and "service.serviceName" event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
"service.detection.sequence.endpoints.ip" event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
"service.detection.sequence.actors.user" event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
"schemaVersion" event.idm.read_only_udm.security_result.rule_version Mappato dal log delle modifiche
service.eventFirstSeen event.idm.read_only_udm.principal.asset.first_discover_time Mappato dal log delle modifiche
service.eventLastSeen event.idm.read_only_udm.principal.asset.last_discover_time Mappato dal log delle modifiche
service.additionalInfo.value security_result.about.resource.attribute.labels Mappato dal log delle modifiche
service.additionalInfo.unusualBehavior" and "service.additionalInfo.profiledBehavior security_result.about.resource.attribute.labels Mappato dal log delle modifiche
resource.eksClusterDetails.status", "resource.kubernetesDetails.kubernetesUserDetails.impersonatedUser", "resource.kubernetesDetails.kubernetesUserDetails.groups", "resource.kubernetesDetails.kubernetesUserDetails.sessionName", "service.action.kubernetesApiCallAction.verb", "service.detection.anomaly.profiles.namespace.asnInfo", "service.detection.anomaly.profiles.namespace.userAgent", "service.detection.anomaly.profiles.namespace.dayOfWeek", "service.detection.anomaly.profiles.namespace.impersonatedUsername", "service.detection.anomaly.profiles.namespace.api", "service.detection.anomaly.profiles.namespace.username", "service.detection.anomaly.profiles.cluster.asnInfo", "service.detection.anomaly.profiles.cluster.userAgent", "service.detection.anomaly.profiles.cluster.dayOfWeek", "service.detection.anomaly.profiles.cluster.impersonatedUsername", "service.detection.anomaly.profiles.cluster.api", "service.detection.anomaly.profiles.cluster.username", "service.detection.anomaly.profiles.account.asnInfo", "service.detection.anomaly.profiles.account.userAgent", "service.detection.anomaly.profiles.account.dayOfWeek", "service.detection.anomaly.profiles.account.impersonatedUsername", "service.detection.anomaly.profiles.account.api", "service.detection.anomaly.profiles.account.username", "service.detection.anomaly.profiles.username.asnInfo", "service.detection.anomaly.profiles.username.userAgent", "service.detection.anomaly.profiles.username.dayOfWeek", "service.detection.anomaly.profiles.username.impersonatedUsername", "service.detection.anomaly.profiles.username.api", "service.detection.anomaly.profiles.username.username", "service.detection.anomaly.unusual.behavior.namespace.asnInfo", "service.detection.anomaly.unusual.behavior.namespace.userAgent", "service.detection.anomaly.unusual.behavior.namespace.dayOfWeek", "service.detection.anomaly.unusual.behavior.namespace.impersonatedUsername", "service.detection.anomaly.unusual.behavior.namespace.api", "service.detection.anomaly.unusual.behavior.namespace.username", "service.detection.anomaly.unusual.behavior.cluster.asnInfo", "service.detection.anomaly.unusual.behavior.cluster.userAgent", "service.detection.anomaly.unusual.behavior.cluster.dayOfWeek", "service.detection.anomaly.unusual.behavior.cluster.impersonatedUsername", "service.detection.anomaly.unusual.behavior.cluster.api", "service.detection.anomaly.unusual.behavior.cluster.username", "service.detection.anomaly.unusual.behavior.account.asnInfo", "service.detection.anomaly.unusual.behavior.account.userAgent", "service.detection.anomaly.unusual.behavior.account.dayOfWeek", "service.detection.anomaly.unusual.behavior.account.impersonatedUsername", "service.detection.anomaly.unusual.behavior.account.api", "service.detection.anomaly.unusual.behavior.account.username", "service.detection.anomaly.unusual.behavior.username.asnInfo", "service.detection.anomaly.unusual.behavior.username.userAgent", "service.detection.anomaly.unusual.behavior.username.dayOfWeek", "service.detection.anomaly.unusual.behavior.username.impersonatedUsername", "service.detection.anomaly.unusual.behavior.username.api", and "service.detection.anomaly.unusual.behavior.username.username additional.fields Mappato dal log delle modifiche
service.action.kubernetesApiCallAction.statusCode network.http.response_code Mappato dal log delle modifiche
resource.eksClusterDetails.vpcId principal.cloud.vpc.id Mappato dal log delle modifiche
service.action.kubernetesApiCallAction.namespace principal.namespace Mappato dal log delle modifiche
service.action.kubernetesApiCallAction.requestUri target.url Mappato dal log delle modifiche
service.action.awsApiCallAction.domainDetails.domain network.dns.questions.name Mappato dal log delle modifiche
service.action.awsApiCallAction.affectedResources.AWS_CloudTrail_Trail principal.resource.attribute.labels Mappato dal log delle modifiche
resource.eksClusterDetails.createdAt target.resource.attribute.labels Mappato dal log delle modifiche
resource.s3BucketDetails.createdAt principal.resource.attribute.labels Mappato dal log delle modifiche
resource.eksClusterDetails.tags target.resource.attribute.labels Mappato dal log delle modifiche
resource.s3BucketDetails.tags principal.resource.attribute.labels Mappato dal log delle modifiche
threatdetails.threatListName security_result.threat_feed_name Mappato dal log delle modifiche
T1071 technique_label.value Mappato dal log delle modifiche
T1078 technique_label.value Mappato dal log delle modifiche
T1087 technique_label.value Mappato dal log delle modifiche
T1098 technique_label.value Mappato dal log delle modifiche
T1110 technique_label.value Mappato dal log delle modifiche
T1133 technique_label.value Mappato dal log delle modifiche
T1189 technique_label.value Mappato dal log delle modifiche
T1484 technique_label.value Mappato dal log delle modifiche
T1496 technique_label.value Mappato dal log delle modifiche
T1498 technique_label.value Mappato dal log delle modifiche
T1526 technique_label.value Mappato dal log delle modifiche
T1538 technique_label.value Mappato dal log delle modifiche
T1552 technique_label.value Mappato dal log delle modifiche
T1555 technique_label.value Mappato dal log delle modifiche
T1562 technique_label.value Mappato dal log delle modifiche
T1565 technique_label.value Mappato dal log delle modifiche
T1566 technique_label.value Mappato dal log delle modifiche
T1567 technique_label.value Mappato dal log delle modifiche
T1568 technique_label.value Mappato dal log delle modifiche
T1589 technique_label.value Mappato dal log delle modifiche
T1595 technique_label.value Mappato dal log delle modifiche
Reconnaissance tatic_label.value Mappato dal log delle modifiche
ResourceDevelopment tatic_label.value Mappato dal log delle modifiche
InitialAccess tatic_label.value Mappato dal log delle modifiche
Execution tatic_label.value Mappato dal log delle modifiche
Persistence tatic_label.value Mappato dal log delle modifiche
PrivilegeEscalation tatic_label.value Mappato dal log delle modifiche
DefenseEvasion tatic_label.value Mappato dal log delle modifiche
CredentialAccess tatic_label.value Mappato dal log delle modifiche
Discovery tatic_label.value Mappato dal log delle modifiche
LateralMovement tatic_label.value Mappato dal log delle modifiche
Collection tatic_label.value Mappato dal log delle modifiche
CommandAndControl tatic_label.value Mappato dal log delle modifiche
Exfiltration tatic_label.value Mappato dal log delle modifiche
Impact tatic_label.value Mappato dal log delle modifiche
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.hash principal.file.sha256 Mappato dal log delle modifiche
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.filePath principal.file.full_path Mappato dal log delle modifiche
service.action.dnsRequestAction.domain network.dns.questions.name Mappato dal log delle modifiche
resource.kubernetesDetails.kubernetesUserDetails.username principal.user.userid Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.