AWS GuardDuty ログを収集する
パーサーのバージョン: 22.0
以下でサポートされています。
Google SecOps
SIEM
このドキュメントでは、Google Security Operations フィードを設定して AWS GuardDuty ログを収集する方法について説明します。
詳細については、Google Security Operations へのデータの取り込みの概要をご覧ください。
取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル GUARDDUTY が付加されたパーサーに適用されます。
始める前に
次の前提条件を満たしていることを確認します。
- AWS S3 バケットが作成されます。AWS S3 バケットを作成するには、最初の S3 バケットを作成するをご覧ください。
- KMS 鍵が作成されます。KMS 鍵を作成するには、非対称 KMS 鍵を作成するをご覧ください。
- AWS GuardDuty に KMS 鍵へのアクセス権がある。KMS 鍵へのアクセス権を付与するには、検出結果をエクスポートするをご覧ください。GuardDuty は、AWS KMS 鍵を使用してバケット内の検出結果データを暗号化します。
AWS GuardDuty を構成する
AWS GuardDuty を構成するには、次の操作を行います。
- AWS コンソールにログインします。
- [GuardDuty] を検索します。
- [設定] を選択します。
[検出結果のエクスポート オプション] セクションで、次の操作を行います。
- [Frequency for updated findings] リストから、[Update CWE and S3 every 15 minutes] を選択します。頻度の選択は、更新された検出結果に対して行われます。新しい検出結果は、作成から 5 分後にエクスポートされます。
- [S3 bucket] セクションで、GuardDuty の検出結果をエクスポートする S3 バケットを選択します。
- [Log file prefix] セクションで、ログファイルの接頭辞を指定します。
- [KMS encryption] セクションで、KMS 暗号化を選択します。
- [Key alias] リストから鍵を選択します。
- [Save] をクリックします。
ログファイルが S3 バケットに保存されたら、SQS キューを作成して S3 バケットにアタッチします。
KMS ポリシーの例
KMS ポリシーの例を次に示します。
{
"Sid": "Allow GuardDuty to encrypt findings",
"Effect": "Allow",
"Principal": {
"Service": "guardduty.AWS_REGION.amazonaws.com"
},
"Action": [
"kms:Encrypt",
"kms:GenerateDataKey"
],
"Resource": "KEY_ARN"
}
以下を置き換えます。
- AWS_REGION: 選択したリージョン。
- KEY_ARN: KMS 鍵の Amazon Resource Name（ARN）。
S3、SQS、KMS に必要な IAM ユーザー ポリシーと KMS 鍵ポリシーを確認します。
サービスとリージョンに基づいて、次の AWS ドキュメントを参照して接続のエンドポイントを特定します。
- ロギングソースの詳細については、AWS Identity and Access Management エンドポイントとクォータをご覧ください。
- S3 ロギング ソースの詳細については、Amazon Simple Storage Service エンドポイントとクォータをご覧ください。
- SQS ロギング ソースの詳細については、Amazon Simple Queue Service エンドポイントとクォータをご覧ください。
フィードを設定する
フィードを構成する手順は次のとおりです。
- [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
- [Add New Feed] をクリックします。
- 次のページで、[単一のフィードを構成する] をクリックします。
- [Feed name] に一意の名前を入力します。
- [Source type] として [Amazon S3 V2] または [Amazon SQS V2] を選択します。
- [Log type] として [AWS GuardDuty] を選択します。
- [次へ] をクリックしてから、[送信] をクリックします。
- Google Security Operations は、アクセスキー ID とシークレット メソッドを使用したログ収集をサポートしています。アクセスキー ID とシークレットを作成するには、AWS でツールの認証を構成するをご覧ください。
作成した AWS GuardDuty 構成に基づいて、次のフィールドの値を指定します。
- Amazon S3 V2 を使用している場合
- **S3 URI**
- **ソース削除オプション**
- **ファイルの最大経過時間**
- Amazon SQS V2 を使用している場合
- キュー名
- 口座番号
- Queue access key ID
- Queue secret access key
- ソース削除オプション
- ファイルの最大経過時間
[次へ] をクリックしてから、[送信] をクリックします。
Google Security Operations フィードの詳細については、Google Security Operations フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。 フィードの作成時に問題が発生した場合は、Google Security Operations サポートにお問い合わせください
フィールド マッピング リファレンス
このパーサーコードは、AWS GuardDuty の検出結果を JSON 形式で処理し、関連するフィールドを抽出して統合データモデル（UDM）にマッピングします。文字列の置換、配列の結合、データ型の変換などのデータ変換を実行して、分析と相関のためにセキュリティ イベントの構造化された表現を作成します。
UDM マッピング テーブル
| ログフィールド | UDM マッピング | 論理 |
|---|---|---|
| accountId | principal.group.product_object_id | 検出結果に関連付けられている AWS アカウント ID。 |
| additionalInfo.portsScannedSample | event.idm.read_only_udm.about.port | ポートスイープ中にスキャンされたポートのリスト。 |
| additionalInfo.sample | security_result.about.labels.value | 検出結果がサンプルの検出結果かどうかを示します。 |
| additionalInfo.threatListName | security_result.threat_feed_name | 検出結果をトリガーした脅威リストの名前。 |
| additionalInfo.threatName | security_result.threat_name | 検出結果をトリガーした脅威の名前。 |
| additionalInfo.userAgent .fullUserAgent |
network.http.user_agent | 検出結果に関連付けられている完全なユーザー エージェント文字列。 |
| additionalInfo.userAgent .userAgentCategory |
security_result.detection_fields.value | 検出結果に関連付けられたユーザー エージェントのカテゴリ。 |
| arn | target.asset.attribute .cloud.project.product_object_id |
検出結果の Amazon Resource Name（ARN）。 |
| detail.accountId | principal.group.product_object_id | 検出結果に関連付けられている AWS アカウント ID。 |
| detail.description | security_result.description | 検出結果の詳細な説明。 |
| detail.id | target.asset.attribute.cloud.project.id | 検出結果の一意の ID。 |
| detail.resource.accessKeyDetails | principal.user | 検出結果に関連する AWS アクセスキーの詳細。 |
| detail.resource.accessKeyDetails .accessKeyId |
principal.user.userid | 検出結果に関連する AWS アクセスキーの ID。 |
| detail.resource.accessKeyDetails .principalId |
principal.user.userid | 検出結果に関連する AWS アクセスキーのプリンシパル ID。 |
| detail.resource.accessKeyDetails .userType |
principal.user.attribute.roles.name | 検出結果に関連する AWS アクセスキーに関連付けられているユーザーのタイプ。 |
| detail.resource.accessKeyDetails .userName |
principal.user.user_display_name | 検出結果に関連する AWS アクセスキーに関連付けられているユーザーの名前。 |
| detail.resource.s3BucketDetails .0.arn |
target.resource.name | 検出結果に関連する S3 バケットの ARN。 |
| detail.resource.s3BucketDetails .0.defaultServerSideEncryption.encryptionType |
network.tls.client.supported_ciphers | 検出結果に関連する S3 バケットに使用されるサーバーサイド暗号化のタイプ。 |
| detail.resource.s3BucketDetails .0.name |
target.resource.name | 検出結果に関連する S3 バケットの名前。 |
| detail.resource.s3BucketDetails .0.owner.id |
target.resource.attribute.labels.value | 検出結果に関連する S3 バケットのオーナーの ID。 |
| detail.resource.s3BucketDetails .0.publicAccess.effectivePermission |
target.resource.attribute.labels.value | 検出結果に関連する S3 バケットの有効な権限。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .blockPublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .blockPublicPolicy |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .ignorePublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .restrictPublicBuckets |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.accessControlList .allowsPublicReadAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
アクセス制御リスト（ACL）で公開読み取りアクセスが許可されているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.accessControlList .allowsPublicWriteAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
アクセス制御リスト（ACL）で公開書き込みアクセスが許可されているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .blockPublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .blockPublicPolicy |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .ignorePublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .restrictPublicBuckets |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.bucketPolicy .allowsPublicReadAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケット ポリシーで公開読み取りアクセスが許可されているかどうか。 |
| detail.resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.bucketPolicy .allowsPublicWriteAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケット ポリシーで公開書き込みアクセスが許可されているかどうか。 |
| detail.resource.s3BucketDetails .0.type |
target.resource.attribute.labels.value | 検出結果に関連する S3 バケットのタイプ。 |
| detail.service.action .actionType |
principal.group.attribute.labels.value | 検出結果に関連付けられているアクションのタイプ。 |
| detail.service.action .awsApiCallAction.api |
principal.application | 検出結果に関連する AWS API 呼び出しの名前。 |
| detail.service.action .awsApiCallAction.callerType |
principal.group.attribute.labels.value | 検出結果に関連する AWS API 呼び出しを行った呼び出し元のタイプ。 |
| detail.service.action .awsApiCallAction.domainDetails.domain |
network.dns.questions.name | 検出結果に関連する AWS API 呼び出しに関連付けられているドメイン名。 |
| detail.service.action.awsApiCallAction .remoteIpDetails.country.countryName |
target.location.country_or_region | 検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスに関連付けられている国名。 |
| detail.service.action.awsApiCallAction .remoteIpDetails.geoLocation.lat |
target.location.region_latitude | 検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスの緯度。 |
| detail.service.action.awsApiCallAction .remoteIpDetails.geoLocation.lon |
target.location.region_longitude | 検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスの経度。 |
| detail.service.action .awsApiCallAction.remoteIpDetails.ipAddressV4 |
target.ip | 検出結果に関連する AWS API 呼び出しを行った IP アドレス。 |
| detail.service.action .awsApiCallAction.serviceName |
metadata.description | 検出結果に関連する AWS サービスの名前。 |
| detail.service.action .dnsRequestAction.blocked |
security_result.action | DNS リクエストがブロックされたかどうか。 |
| detail.service.action .dnsRequestAction.domain |
principal.administrative_domain | 検出結果に関連する DNS リクエストに関連付けられているドメイン名。 |
| detail.service.action .dnsRequestAction.protocol |
network.ip_protocol | 検出結果に関連する DNS リクエストに使用されるプロトコル。 |
| detail.service.action .networkConnectionAction.blocked |
security_result.action | ネットワーク接続がブロックされたかどうか。 |
| detail.service.action .networkConnectionAction.connectionDirection |
network.direction | 検出結果に関連するネットワーク接続の方向。 |
| detail.service.action .networkConnectionAction.localIpDetails .ipAddressV4 |
principal.ip | ネットワーク接続に関係するローカル IP アドレス。 |
| detail.service.action .networkConnectionAction.localPortDetails .port |
principal.port | ネットワーク接続に関連するローカルポート。 |
| detail.service.action .networkConnectionAction.localPortDetails .portName |
principal.application | ネットワーク接続に関連するローカルポートの名前。 |
| detail.service.action .networkConnectionAction.protocol |
network.ip_protocol | 検出結果に関連するネットワーク接続に使用されるプロトコル。 |
| detail.service.action .networkConnectionAction.remoteIpDetails .city.cityName |
target.location.city | ネットワーク接続に関連するリモート IP アドレスに関連付けられている都市名。 |
| detail.service.action .networkConnectionAction.remoteIpDetails .country.countryName |
target.location.country_or_region | ネットワーク接続に関連するリモート IP アドレスに関連付けられている国名。 |
| detail.service.action .networkConnectionAction.remoteIpDetails .ipAddressV4 |
target.ip | ネットワーク接続に関連するリモート IP アドレス。 |
| detail.service.action .networkConnectionAction.remotePortDetails .port |
target.port | ネットワーク接続に関係するリモートポート。 |
| detail.service.action .networkConnectionAction.remotePortDetails .portName |
target.application | ネットワーク接続に関連するリモートポートの名前。 |
| detail.service.action .portProbeAction.blocked |
security_result.action | ポートプローブがブロックされたかどうか。 |
| detail.service.action .portProbeAction.portProbeDetails .0.localPortDetails.port |
target.port | プローブされたローカルポート。 |
| detail.service.action .portProbeAction.portProbeDetails .0.localPortDetails.portName |
principal.application | プローブされたローカルポートの名前。 |
| detail.service.action .portProbeAction.portProbeDetails .0.remoteIpDetails.city.cityName |
target.location.city | ポートプローブを実行したリモート IP アドレスに関連付けられている都市名。 |
| detail.service.action .portProbeAction.portProbeDetails .0.remoteIpDetails.country.countryName |
target.location.country_or_region | ポートプローブを実行したリモート IP アドレスに関連付けられている国名。 |
| detail.service.action .portProbeAction.portProbeDetails .0.remoteIpDetails.geoLocation.lat |
target.location.region_latitude | ポートプローブを実行したリモート IP アドレスの緯度。 |
| detail.service.action .portProbeAction.portProbeDetails .0.remoteIpDetails.geoLocation.lon |
target.location.region_longitude | ポートプローブを実行したリモート IP アドレスの緯度。 |
| detail.service.action .portProbeAction.portProbeDetails .0.remoteIpDetails.ipAddressV4 |
target.ip | ポートプローブを実行したリモート IP アドレス。 |
| detail.service.additionalInfo .threatListName |
security_result.threat_feed_name | 検出結果をトリガーした脅威リストの名前。 |
| detail.service.additionalInfo .threatName |
security_result.threat_name | 検出結果をトリガーした脅威の名前。 |
| detail.service.additionalInfo .userAgent.fullUserAgent |
network.http.user_agent | 検出結果に関連付けられている完全なユーザー エージェント文字列。 |
| detail.service.additionalInfo .userAgent.userAgentCategory |
security_result.detection_fields.value | 検出結果に関連付けられたユーザー エージェントのカテゴリ。 |
| detail.service.additionalInfo .value |
security_result.about .resource.attribute.labels.value |
検出結果に関する追加情報。 |
| detail.title | security_result.summary | 検出結果の短いタイトル。 |
| detail.type | metadata.product_event_type | 検出結果のタイプ。 |
| detail.updatedAt | metadata.event_timestamp | ハブの最終更新日時。 |
| detail-type | event.idm.read_only_udm .additional.fields.value.string_value |
検出結果をトリガーしたイベントのタイプ。 |
| パーティション | target.asset.attribute .cloud.project.type |
検出結果が発生した AWS パーティション。 |
| resource.accessKeyDetails | principal.user | 検出結果に関連する AWS アクセスキーの詳細。 |
| resource.accessKeyDetails.accessKeyId | principal.user.userid | 検出結果に関連する AWS アクセスキーの ID。 |
| resource.accessKeyDetails.principalId | principal.user.userid | 検出結果に関連する AWS アクセスキーのプリンシパル ID。 |
| resource.accessKeyDetails.userType | principal.user.attribute.roles.name | 検出結果に関連する AWS アクセスキーに関連付けられているユーザーのタイプ。 |
| resource.accessKeyDetails.userName | principal.user.user_display_name | 検出結果に関連する AWS アクセスキーに関連付けられているユーザーの名前。 |
| resource.instanceDetails.availabilityZone | target.asset.attribute.cloud.availability_zone | 検出結果に関連する EC2 インスタンスのアベイラビリティ ゾーン。 |
| resource.instanceDetails.imageDescription | event.idm.read_only_udm .principal.resource.attribute.labels.value |
検出結果に関連する EC2 インスタンスの起動に使用された AMI の説明。 |
| resource.instanceDetails.imageId | event.idm.read_only_udm .additional.fields.value.string_value |
検出結果に関連する EC2 インスタンスの起動に使用された AMI の ID。 |
| resource.instanceDetails .iamInstanceProfile.arn |
target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスに関連付けられている IAM インスタンス プロファイルの ARN。 |
| resource.instanceDetails .iamInstanceProfile.id |
target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスに関連付けられている IAM インスタンス プロファイルの ID。 |
| resource.instanceDetails.instanceId | target.resource.product_object_id | 検出結果に関連する EC2 インスタンスの ID。 |
| resource.instanceDetails.instanceState | target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスの状態。 |
| resource.instanceDetails.instanceType | target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスのタイプ。 |
| resource.instanceDetails .launchTime |
target.resource.attribute.creation_time | 検出結果に関連する EC2 インスタンスが起動された時刻。 |
| resource.instanceDetails .networkInterfaces.0.networkInterfaceId |
target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスに関連付けられているネットワーク インターフェースの ID。 |
| resource.instanceDetails .networkInterfaces.0.privateDnsName |
target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスに関連付けられているネットワーク インターフェースのプライベート DNS 名。 |
| resource.instanceDetails .networkInterfaces.0.publicDnsName |
target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスに関連付けられているネットワーク インターフェースのパブリック DNS 名。 |
| resource.instanceDetails .networkInterfaces.0.publicIp |
principal.ip | 検出結果に関連する EC2 インスタンスに関連付けられているネットワーク インターフェースのパブリック IP アドレス。 |
| resource.instanceDetails .networkInterfaces.0.privateIpAddress |
principal.ip | 検出結果に関連する EC2 インスタンスに関連付けられているネットワーク インターフェースのプライベート IP アドレス。 |
| resource.instanceDetails .networkInterfaces.0.securityGroups .0.groupId |
target.user.group_identifiers | 検出結果に関連する EC2 インスタンスのネットワーク インターフェースに関連付けられているセキュリティ グループの ID。 |
| resource.instanceDetails .networkInterfaces.0.securityGroups .0.groupName |
target.user.group_identifiers | 検出結果に関連する EC2 インスタンスのネットワーク インターフェースに関連付けられているセキュリティ グループの名前。 |
| resource.instanceDetails .networkInterfaces.0.subnetId |
target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスのネットワーク インターフェースに関連付けられているサブネットの ID。 |
| resource.instanceDetails .networkInterfaces.0.vpcId |
target.asset.attribute.cloud.vpc.id | 検出結果に関連する EC2 インスタンスのネットワーク インターフェースに関連付けられている VPC の ID。 |
| resource.instanceDetails.outpostArn | target.resource.attribute.labels.value | 検出結果に関連する EC2 インスタンスに関連付けられているアウトポストの ARN。 |
| resource.instanceDetails.platform | target.asset.platform_software.platform_version | 検出結果に関連する EC2 インスタンスのプラットフォーム。 |
| resource.instanceDetails .productCodes.0.productCodeType |
target.resource.type | 検出結果に関連する EC2 インスタンスに関連付けられているプロダクト コードのタイプ。 |
| resource.instanceDetails.tags | target.asset.attribute.labels | 検出結果に関連する EC2 インスタンスに関連付けられているタグ。 |
| resource.kubernetesDetails .kubernetesUserDetails.username |
principal.user.userid | 検出結果に関連する Kubernetes ユーザーのユーザー名。 |
| resource.rdsDbInstanceDetails .dbClusterIdentifier |
event.idm.read_only_udm .target.resource_ancestors.product_object_id |
検出結果に関連する RDS DB クラスタの ID。 |
| resource.rdsDbInstanceDetails .dbInstanceArn |
target.resource.name | 検出結果に関連する RDS DB インスタンスの ARN。 |
| resource.rdsDbInstanceDetails .dbInstanceIdentifier |
target.resource.product_object_id | 検出結果に関連する RDS DB インスタンスの ID。 |
| resource.rdsDbUserDetails.user | principal.user.userid | 検出結果に関連する RDS DB ユーザーのユーザー名。 |
| resource.resourceType | target.resource.resource_subtype | 検出結果に関連するリソースのタイプ。 |
| resource.s3BucketDetails | principal.resource.attribute.labels | 検出結果に関連する S3 バケットの詳細。 |
| resource.s3BucketDetails.0.arn | target.resource.name | 検出結果に関連する S3 バケットの ARN。 |
| resource.s3BucketDetails.0.createdAt | event.idm.read_only_udm .principal.resource.attribute.labels.value |
検出結果に関連する S3 バケットが作成された時刻。 |
| resource.s3BucketDetails.0 .defaultServerSideEncryption.encryptionType |
network.tls.client.supported_ciphers | 検出結果に関連する S3 バケットに使用されるサーバーサイド暗号化のタイプ。 |
| resource.s3BucketDetails.0.name | target.resource.name | 検出結果に関連する S3 バケットの名前。 |
| resource.s3BucketDetails.0.owner.id | target.resource.attribute.labels.value | 検出結果に関連する S3 バケットのオーナーの ID。 |
| resource.s3BucketDetails .0.publicAccess.effectivePermission |
target.resource.attribute.labels.value | 検出結果に関連する S3 バケットの有効な権限。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .blockPublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .blockPublicPolicy |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .ignorePublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .accountLevelPermissions.blockPublicAccess .restrictPublicBuckets |
event.idm.read_only_udm .additional.fields.value.bool_value |
アカウントで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.accessControlList .allowsPublicReadAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
アクセス制御リスト（ACL）で公開読み取りアクセスが許可されているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.accessControlList .allowsPublicWriteAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
アクセス制御リスト（ACL）で公開書き込みアクセスが許可されているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .blockPublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .blockPublicPolicy |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .ignorePublicAcls |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.blockPublicAccess .restrictPublicBuckets |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケットで公開アクセス ブロックが有効になっているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.bucketPolicy .allowsPublicReadAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケット ポリシーで公開読み取りアクセスが許可されているかどうか。 |
| resource.s3BucketDetails .0.publicAccess.permissionConfiguration .bucketLevelPermissions.bucketPolicy .allowsPublicWriteAccess |
event.idm.read_only_udm .additional.fields.value.bool_value |
バケット ポリシーで公開書き込みアクセスが許可されているかどうか。 |
| resource.s3BucketDetails.0.tags | event.idm.read_only_udm .principal.resource.attribute.labels |
検出結果に関連する S3 バケットに関連付けられているタグ。 |
| resource.s3BucketDetails.0.type | target.resource.attribute.labels.value | 検出結果に関連する S3 バケットのタイプ。 |
| service.action .actionType |
principal.group.attribute.labels.value | 検出結果に関連付けられているアクションのタイプ。 |
| service.action .awsApiCallAction.affectedResources .AWS_CloudTrail_Trail |
event.idm.read_only_udm .principal.resource.attribute.labels.value |
検出結果に関連する AWS CloudTrail トレイルの名前。 |
| service.action .awsApiCallAction.affectedResources .AWS_S3_Bucket |
event.idm.read_only_udm .principal.resource.attribute.labels.value |
検出結果に関連する S3 バケットの名前。 |
| service.action .awsApiCallAction.api |
principal.application | 検出結果に関連する AWS API 呼び出しの名前。 |
| service.action .awsApiCallAction.callerType |
principal.group.attribute.labels.value | 検出結果に関連する AWS API 呼び出しを行った呼び出し元のタイプ。 |
| service.action .awsApiCallAction.domainDetails.domain |
network.dns.questions.name | 検出結果に関連する AWS API 呼び出しに関連付けられているドメイン名。 |
| service.action .awsApiCallAction.errorCode |
security_result.rule_type | 検出結果に関連する AWS API 呼び出しに関連付けられているエラーコード。 |
| service.action .awsApiCallAction.remoteIpDetails .country.countryName |
target.location.country_or_region | 検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスに関連付けられている国名。 |
| service.action .awsApiCallAction.remoteIpDetails .geoLocation.lat |
target.location.region_latitude | 検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスの緯度。 |
| service.action .awsApiCallAction.remoteIpDetails .geoLocation.lon |
target.location.region_longitude | 検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスの経度。 |
| service.action .awsApiCallAction.remoteIpDetails .ipAddressV4 |
target.ip | 検出結果に関連する AWS API 呼び出しを行った IP アドレス。 |
| service.action .awsApiCallAction.remoteIpDetails .organization.asn |
event.idm.read_only_udm .additional.fields.value.string_value |
検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスに関連付けられている組織の自律システム番号（ASN）。 |
| service.action .awsApiCallAction.remoteIpDetails .organization.asnOrg |
event.idm.read_only_udm .additional.fields.value.string_value |
検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスに関連付けられている組織の名前。 |
| service.action .awsApiCallAction.remoteIpDetails .organization.isp |
event.idm.read_only_udm .additional.fields.value.string_value |
検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスに関連付けられているインターネット サービス プロバイダ（ISP）の名前。 |
| service.action .awsApiCallAction.remoteIpDetails .organization.org |
event.idm.read_only_udm .additional.fields.value.string_value |
検出結果に関連する AWS API 呼び出しを行ったリモート IP アドレスに関連付けられている組織の名前。 |
| service.action .awsApiCallAction.serviceName |
metadata.description | 検出結果に関連する AWS サービスの名前。 |
| service.action .dnsRequestAction.blocked |
security_result.action | DNS リクエストがブロックされたかどうか。 |
| service.action .dnsRequestAction.domain |
principal.administrative_domain | 検出結果に関連する DNS リクエストに関連付けられているドメイン名。 |
| service.action .dnsRequestAction.protocol |
network.ip_protocol | 検出結果に関連する DNS リクエストに使用されるプロトコル。 |
| service.action .kubernetesApiCallAction.remoteIpDetails .country.countryName |
target.location.country_or_region | 検出結果に関連する Kubernetes API 呼び出しを行ったリモート IP アドレスに関連付けられている国名。 |
| service.action .kubernetesApiCallAction.remoteIpDetails .geoLocation.lat |
target.location.region_latitude | 検出結果に関連する Kubernetes API 呼び出しを行ったリモート IP アドレスの緯度。 |
| service.action .kubernetesApiCallAction.remoteIpDetails .geoLocation.lon |
target.location.region_longitude | 検出結果に関連する Kubernetes API 呼び出しを行ったリモート IP アドレスの経度。 |
| service.action .kubernetesApiCallAction.remoteIpDetails .ipAddressV4 |
target.ip | 検出結果に関連する Kubernetes API 呼び出しを行った IP アドレス。 |
| service.action .networkConnectionAction.blocked |
security_result.action | ネットワーク接続がブロックされたかどうか。 |
| service.action .networkConnectionAction.connectionDirection |
network.direction | 検出結果に関連するネットワーク接続の方向。 |
| service.action .networkConnectionAction.localIpDetails .ipAddressV4 |
principal.ip | ネットワーク接続に関係するローカル IP アドレス。 |
| service.action .networkConnectionAction.localPortDetails .port |
principal.port | ネットワーク接続に関連するローカルポート。 |
| service.action .networkConnectionAction.localPortDetails .portName |
principal.application | ネットワーク接続に関連するローカルポートの名前。 |
| service.action .networkConnectionAction.protocol |
network.ip_protocol | 検出結果に関連するネットワーク接続に使用されるプロトコル。 |
| service.action .networkConnectionAction.remoteIpDetails .city.cityName |
target.location.city | ネットワーク接続に関連するリモート IP アドレスに関連付けられている都市名。 |
| service.action .networkConnectionAction.remoteIpDetails .country.countryName |
target.location.country_or_region | ネットワーク接続に関連するリモート IP アドレスに関連付けられている国名。 |
| service.action .networkConnectionAction.remoteIpDetails .ipAddressV4 |
target.ip | ネットワーク接続に関連するリモート IP アドレス。 |
| service.action .networkConnectionAction.remotePortDetails .port |
target.port | ネットワーク接続に関係するリモートポート。 |
| service.action .networkConnectionAction.remotePortDetails .portName |
target.application | ネットワーク接続に関連するリモートポートの名前。 |
| service.action .portProbeAction.blocked |
security_result.action | ポートプローブがブロックされたかどうか。 |
| service.action.portProbeAction .portProbeDetails .0.localPortDetails.port |
target.port | プローブされたローカルポート。 |
| service.action.portProbeAction .portProbeDetails .0.localPortDetails.portName |
principal.application | プローブされたローカルポートの名前。 |
| service.action.portProbeAction .portProbeDetails .0.remoteIpDetails.city .cityName |
target.location.city | ポートプローブを実行したリモート IP アドレスに関連付けられている都市名。 |
| service.action.portProbeAction .portProbeDetails .0.remoteIpDetails.country .countryName |
target.location.country_or_region | ポートプローブを実行したリモート IP アドレスに関連付けられている国名。 |
| service.action.portProbeAction .portProbeDetails .0.remoteIpDetails.geoLocation .lat |
target.location.region_latitude | ポートプローブを実行したリモート IP アドレスの緯度。 |
| service.action.portProbeAction .portProbeDetails .0.remoteIpDetails.geoLocation .lon |
target.location.region_longitude | ポートプローブを実行したリモート IP アドレスの緯度。 |
| service.action.portProbeAction .portProbeDetails .0.remoteIpDetails.ipAddressV4 |
target.ip | ポートプローブを実行したリモート IP アドレス。 |
| service.additionalInfo .portsScannedSample |
event.idm.read_only_udm.about.port | スキャンされたポートのサンプル。 |
| service.additionalInfo .recentCredentials |
event.idm.read_only_udm.intermediary | 最近使用された認証情報のリスト。 |
| service.additionalInfo.sample | security_result.about .labels.value |
検出結果がサンプルの検出結果かどうかを示します。 |
| service.additionalInfo.threatListName | security_result.threat_feed_name | 検出結果をトリガーした脅威リストの名前。 |
| service.additionalInfo.threatName | security_result.threat_name | 検出結果をトリガーした脅威の名前。 |
| service.additionalInfo .userAgent.fullUserAgent |
network.http.user_agent | 検出結果に関連付けられている完全なユーザー エージェント文字列。 |
| service.additionalInfo .userAgent.userAgentCategory |
security_result.detection_fields .value |
検出結果に関連付けられたユーザー エージェントのカテゴリ。 |
| service.additionalInfo.value | security_result.about .resource.attribute.labels.value |
検出結果に関する追加情報。 |
| service.archived | event.idm.read_only_udm .additional.fields.value.bool_value |
検出結果がアーカイブされているかどうか。 |
| service.count | event.idm.read_only_udm .principal.resource.attribute.labels.value |
イベントが発生した回数。 |
| service.detectorId | event.idm.read_only_udm .additional.fields.value.string_value |
検出結果を生成した GuardDuty 検出機能の ID。 |
| service.ebsVolumeScanDetails .scanDetections .threatDetectedByName.itemCount |
EBS ボリューム スキャン中に検出された脅威の合計数。 | |
detail.service.detection.sequence.uid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
detail.service.detection.sequence.description |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
detail.service.additionalInfo.type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.resourceUids |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.endpointIds |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.signalIndicators.values |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.uid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.description |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.name |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.createdAt |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.updatedAt |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.firstSeenAt |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.lastSeenAt |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.severity |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.count |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.id |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.domain |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.port |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.uid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.cloudPartition |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.data.ec2Instance.availabilityZone |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.data.ec2Instance.imageDescription |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.data.ec2Instance.instanceState |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.data.ec2Instance.instanceType |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.name |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.accountId |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.data.ec2Instance.ec2NetworkInterfaceUids |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
prodcode.productCodeId |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
prodcode.productCodeType |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.data.ec2Image.ec2InstanceUids |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource2.resourceType |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
sequenceIndicator.values |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
detail.createdAt |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
detail.id |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
data.ip |
event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip |
変更履歴からマッピング |
detail.service.eventFirstSeen |
event.idm.read_only_udm.principal.asset.first_discover_time |
変更履歴からマッピング |
detail.service.eventLastSeen |
event.idm.read_only_udm.principal.asset.last_discover_time |
変更履歴からマッピング |
data.location |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
data.autonomousSystem |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
detail.associatedAttackSequenceArn |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
Record.requestParameters.bucketName |
event.idm.read_only_udm.target.resource.name |
変更履歴からマッピング |
Record.additionalEventData.bytesTransferredIn |
event.idm.read_only_udm.network.sent_bytes |
変更履歴からマッピング |
Record.additionalEventData.bytesTransferredOut |
event.idm.read_only_udm.network.received_bytes |
変更履歴からマッピング |
Record.userIdentity.userName |
event.idm.read_only_udm.principal.user.userid |
変更履歴からマッピング |
Record.userIdentity.accountId |
event.idm.read_only_udm.principal.user.group_identifiers |
変更履歴からマッピング |
Record_eventName |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
Record.requestParameters.encoding-type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
Record.requestParameters.delimiter |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
Record.additionalEventData.SignatureVersion |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
Record.additionalEventData.x-amz-id-2 |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
Record.requestParameters.prefix |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
resource |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
Record.recipientAccountId |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
Record.additionalEventData.AuthenticationMethod |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
awsAccountId |
event.idm.read_only_udm.principal.user.userid |
変更履歴からマッピング |
digestS3Object |
event.idm.read_only_udm.target.file.full_path |
変更履歴からマッピング |
digestS3Bucket |
event.idm.read_only_udm.target.resource.name |
変更履歴からマッピング |
digestPublicKeyFingerprint |
event.idm.read_only_udm.target.artifact.last_https_certificate.thumbprint_sha256 |
変更履歴からマッピング |
digestSignatureAlgorithm |
event.idm.read_only_udm.target.artifact.last_https_certificate.cert_signature.signature_algorithm |
変更履歴からマッピング |
previousDigestHashValue |
event.idm.read_only_udm.target.file.sha256 |
変更履歴からマッピング |
newestEventTime |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
oldestEventTime |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
previousDigestHashAlgorithm |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
previousDigestS3Bucket |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
previousDigestS3Object |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
actor_id |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resources_name |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resources_accountId |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
sequenceIndicator.key |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
image |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
imageUid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
createdAt |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
containerUids |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
actors_path |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
actors_sha256 |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
associatedAttackSequenceArn |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
updatedAt |
event.idm.read_only_udm.metadata.collected_timestamp |
変更履歴からマッピング |
resources_region |
event.idm.read_only_udm.security_result.about.location.name |
変更履歴からマッピング |
actors_name |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
INBOUND |
event.idm.read_only_udm.network.direction |
変更履歴からマッピング |
status |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
vpcId |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
namespace |
event.idm.read_only_udm.principal.namespace |
変更履歴からマッピング |
remoteIpDetails_ipAddressV4 |
event.idm.read_only_udm.principal.ip |
変更履歴からマッピング |
remoteIpDetails_city_cityName |
event.idm.read_only_udm.principal.location.city |
変更履歴からマッピング |
remoteIPDetails_geoLocation_lat |
event.idm.read_only_udm.principal.location.region_latitude |
変更履歴からマッピング |
remoteIPDetails_geoLocation_lon |
event.idm.read_only_udm.principal.location.region_longitude |
変更履歴からマッピング |
remoteIPDetails_organization_asn |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
remoteIPDetails_organization_isp |
event.idm.read_only_udm.principal.resource.attribute.labels |
変更履歴からマッピング |
remoteIPDetails_organization_asnOrg |
event.idm.read_only_udm.principal.network.organization_name |
変更履歴からマッピング |
remoteIPDetails_organization_org |
event.idm.read_only_udm.target.administrative_domain |
変更履歴からマッピング |
kubernetesApiCallAction_requestUri |
event.idm.read_only_udm.principal.url |
変更履歴からマッピング |
kubernetesApiCallAction_statusCode |
event.idm.read_only_udm.network.http.response_code |
変更履歴からマッピング |
kubernetesApiCallAction_userAgent |
event.idm.read_only_udm.network.http.user_agent |
変更履歴からマッピング |
kubernetesApiCallAction_userAgentOrg |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
unmapped_username |
event.idm.read_only_udm.principal.user.userid |
変更履歴からマッピング |
resource_uid |
event.idm.read_only_udm.principal.resource.id |
変更履歴からマッピング |
remoteIpDetails_ipAddressV4 |
event.idm.read_only_udm.principal.asset.ip |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesWorkloadDetails.namespace |
event.idm.read_only_udm.target.namespace |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesWorkloadDetails.name |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesWorkloadDetails.uid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesWorkloadDetails.type |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesWorkloadDetails.serviceAccountName |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesUserDetails.uid |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
service.action.kubernetesApiCallAction.sourceIPs |
event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.executablePath |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.name |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.namespacePid |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.userId |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.uuid |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.euid |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.parentUuid |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.namespacePid |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.detectorId |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.startTime |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
service.runtimeDetails.process.euid |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
service.runtimeDetails.process.executableSha256 |
event.idm.read_only_udm.target.file.sha256 |
変更履歴からマッピング |
service.runtimeDetails.process.name |
event.idm.read_only_udm.target.process.file.names |
変更履歴からマッピング |
service.runtimeDetails.process.executablePath |
event.idm.read_only_udm.target.process.file.full_path |
変更履歴からマッピング |
service.runtimeDetails.process.pid |
event.idm.read_only_udm.target.process.pid |
変更履歴からマッピング |
service.runtimeDetails.process.uuid |
event.idm.read_only_udm.target.process.product_specific_process_id |
変更履歴からマッピング |
service.runtimeDetails.process.parentUuid |
event.idm.read_only_udm.target.process.parent_process.product_specific_process_id |
変更履歴からマッピング |
service.runtimeDetails.process.user |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
service.runtimeDetails.process.startTime |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
service.runtimeDetails.process.pwd |
event.idm.read_only_udm.target.file.full_path |
変更履歴からマッピング |
service.runtimeDetails.process.userId |
event.idm.read_only_udm.target.user.userid |
変更履歴からマッピング |
service.runtimeDetails.process.lineage.pid |
event.idm.read_only_udm.target.process.parent_process.pid |
変更履歴からマッピング |
detail.resource.kubernetesDetails.kubernetesUserDetails.username |
event.idm.read_only_udm.principal.user.userid |
変更履歴からマッピング |
"service.detection.sequence.signals" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.detection.sequence.actors" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.detection.sequence.endpoints" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.detection.sequence.resources" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.featureName" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.detectorId" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.resourceRole" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
and "service.serviceName" |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
"service.detection.sequence.endpoints.ip" |
event.idm.read_only_udm.principal.ip |
変更履歴からマッピング |
"service.detection.sequence.actors.user" |
event.idm.read_only_udm.security_result.detection_fields |
変更履歴からマッピング |
"schemaVersion" |
event.idm.read_only_udm.security_result.rule_version |
変更履歴からマッピング |
service.eventFirstSeen |
event.idm.read_only_udm.principal.asset.first_discover_time |
変更履歴からマッピング |
service.eventLastSeen |
event.idm.read_only_udm.principal.asset.last_discover_time |
変更履歴からマッピング |
service.additionalInfo.value |
security_result.about.resource.attribute.labels |
変更履歴からマッピング |
service.additionalInfo.unusualBehavior" and "service.additionalInfo.profiledBehavior |
security_result.about.resource.attribute.labels |
変更履歴からマッピング |
resource.eksClusterDetails.status", "resource.kubernetesDetails.kubernetesUserDetails.impersonatedUser", "resource.kubernetesDetails.kubernetesUserDetails.groups", "resource.kubernetesDetails.kubernetesUserDetails.sessionName", "service.action.kubernetesApiCallAction.verb", "service.detection.anomaly.profiles.namespace.asnInfo", "service.detection.anomaly.profiles.namespace.userAgent", "service.detection.anomaly.profiles.namespace.dayOfWeek", "service.detection.anomaly.profiles.namespace.impersonatedUsername", "service.detection.anomaly.profiles.namespace.api", "service.detection.anomaly.profiles.namespace.username", "service.detection.anomaly.profiles.cluster.asnInfo", "service.detection.anomaly.profiles.cluster.userAgent", "service.detection.anomaly.profiles.cluster.dayOfWeek", "service.detection.anomaly.profiles.cluster.impersonatedUsername", "service.detection.anomaly.profiles.cluster.api", "service.detection.anomaly.profiles.cluster.username", "service.detection.anomaly.profiles.account.asnInfo", "service.detection.anomaly.profiles.account.userAgent", "service.detection.anomaly.profiles.account.dayOfWeek", "service.detection.anomaly.profiles.account.impersonatedUsername", "service.detection.anomaly.profiles.account.api", "service.detection.anomaly.profiles.account.username", "service.detection.anomaly.profiles.username.asnInfo", "service.detection.anomaly.profiles.username.userAgent", "service.detection.anomaly.profiles.username.dayOfWeek", "service.detection.anomaly.profiles.username.impersonatedUsername", "service.detection.anomaly.profiles.username.api", "service.detection.anomaly.profiles.username.username", "service.detection.anomaly.unusual.behavior.namespace.asnInfo", "service.detection.anomaly.unusual.behavior.namespace.userAgent", "service.detection.anomaly.unusual.behavior.namespace.dayOfWeek", "service.detection.anomaly.unusual.behavior.namespace.impersonatedUsername", "service.detection.anomaly.unusual.behavior.namespace.api", "service.detection.anomaly.unusual.behavior.namespace.username", "service.detection.anomaly.unusual.behavior.cluster.asnInfo", "service.detection.anomaly.unusual.behavior.cluster.userAgent", "service.detection.anomaly.unusual.behavior.cluster.dayOfWeek", "service.detection.anomaly.unusual.behavior.cluster.impersonatedUsername", "service.detection.anomaly.unusual.behavior.cluster.api", "service.detection.anomaly.unusual.behavior.cluster.username", "service.detection.anomaly.unusual.behavior.account.asnInfo", "service.detection.anomaly.unusual.behavior.account.userAgent", "service.detection.anomaly.unusual.behavior.account.dayOfWeek", "service.detection.anomaly.unusual.behavior.account.impersonatedUsername", "service.detection.anomaly.unusual.behavior.account.api", "service.detection.anomaly.unusual.behavior.account.username", "service.detection.anomaly.unusual.behavior.username.asnInfo", "service.detection.anomaly.unusual.behavior.username.userAgent", "service.detection.anomaly.unusual.behavior.username.dayOfWeek", "service.detection.anomaly.unusual.behavior.username.impersonatedUsername", "service.detection.anomaly.unusual.behavior.username.api", and "service.detection.anomaly.unusual.behavior.username.username |
additional.fields |
変更履歴からマッピング |
service.action.kubernetesApiCallAction.statusCode |
network.http.response_code |
変更履歴からマッピング |
resource.eksClusterDetails.vpcId |
principal.cloud.vpc.id |
変更履歴からマッピング |
service.action.kubernetesApiCallAction.namespace |
principal.namespace |
変更履歴からマッピング |
service.action.kubernetesApiCallAction.requestUri |
target.url |
変更履歴からマッピング |
service.action.awsApiCallAction.domainDetails.domain |
network.dns.questions.name |
変更履歴からマッピング |
service.action.awsApiCallAction.affectedResources.AWS_CloudTrail_Trail |
principal.resource.attribute.labels |
変更履歴からマッピング |
resource.eksClusterDetails.createdAt |
target.resource.attribute.labels |
変更履歴からマッピング |
resource.s3BucketDetails.createdAt |
principal.resource.attribute.labels |
変更履歴からマッピング |
resource.eksClusterDetails.tags |
target.resource.attribute.labels |
変更履歴からマッピング |
resource.s3BucketDetails.tags |
principal.resource.attribute.labels |
変更履歴からマッピング |
threatdetails.threatListName |
security_result.threat_feed_name |
変更履歴からマッピング |
T1071 |
technique_label.value |
変更履歴からマッピング |
T1078 |
technique_label.value |
変更履歴からマッピング |
T1087 |
technique_label.value |
変更履歴からマッピング |
T1098 |
technique_label.value |
変更履歴からマッピング |
T1110 |
technique_label.value |
変更履歴からマッピング |
T1133 |
technique_label.value |
変更履歴からマッピング |
T1189 |
technique_label.value |
変更履歴からマッピング |
T1484 |
technique_label.value |
変更履歴からマッピング |
T1496 |
technique_label.value |
変更履歴からマッピング |
T1498 |
technique_label.value |
変更履歴からマッピング |
T1526 |
technique_label.value |
変更履歴からマッピング |
T1538 |
technique_label.value |
変更履歴からマッピング |
T1552 |
technique_label.value |
変更履歴からマッピング |
T1555 |
technique_label.value |
変更履歴からマッピング |
T1562 |
technique_label.value |
変更履歴からマッピング |
T1565 |
technique_label.value |
変更履歴からマッピング |
T1566 |
technique_label.value |
変更履歴からマッピング |
T1567 |
technique_label.value |
変更履歴からマッピング |
T1568 |
technique_label.value |
変更履歴からマッピング |
T1589 |
technique_label.value |
変更履歴からマッピング |
T1595 |
technique_label.value |
変更履歴からマッピング |
Reconnaissance |
tatic_label.value |
変更履歴からマッピング |
ResourceDevelopment |
tatic_label.value |
変更履歴からマッピング |
InitialAccess |
tatic_label.value |
変更履歴からマッピング |
Execution |
tatic_label.value |
変更履歴からマッピング |
Persistence |
tatic_label.value |
変更履歴からマッピング |
PrivilegeEscalation |
tatic_label.value |
変更履歴からマッピング |
DefenseEvasion |
tatic_label.value |
変更履歴からマッピング |
CredentialAccess |
tatic_label.value |
変更履歴からマッピング |
Discovery |
tatic_label.value |
変更履歴からマッピング |
LateralMovement |
tatic_label.value |
変更履歴からマッピング |
Collection |
tatic_label.value |
変更履歴からマッピング |
CommandAndControl |
tatic_label.value |
変更履歴からマッピング |
Exfiltration |
tatic_label.value |
変更履歴からマッピング |
Impact |
tatic_label.value |
変更履歴からマッピング |
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.hash |
principal.file.sha256 |
変更履歴からマッピング |
service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.filePath |
principal.file.full_path |
変更履歴からマッピング |
service.action.dnsRequestAction.domain |
network.dns.questions.name |
変更履歴からマッピング |
resource.kubernetesDetails.kubernetesUserDetails.username |
principal.user.userid |
変更履歴からマッピング |
変更ログ
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。