Imperva SecureSphere Management-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Imperva SecureSphere Management-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Imperva SecureSphere ist eine Plattform für Web Application Firewall, Datenbanksicherheit und Dateisicherheit, die CEF-formatierte Syslog-Nachrichten für Sicherheitsereignisse, Systemereignisse und Richtlinienverstöße generiert. Der Parser extrahiert Felder aus CEF-Nachrichten mithilfe von Grok- und Schlüssel/Wert-Parsing und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und dem Imperva SecureSphere-Verwaltungsserver
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Imperva SecureSphere-Verwaltungskonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird der neueste Release installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/imperva_securesphere:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: IMPERVA_SECURESPHERE
      raw_log_field: body
  
  service:
    pipelines:
      logs/imperva_securesphere_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/imperva_securesphere
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Exporter für die Legacy Ingestion API

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/imperva_securesphere:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: IMPERVA_SECURESPHERE
      raw_log_field: body
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung in Imperva SecureSphere Management konfigurieren

1. Melden Sie sich in der Imperva SecureSphere Management Console an.
2. Gehen Sie zu Konfiguration > Aktionsgruppen.
3. Klicken Sie auf Hinzufügen, um einen neuen Aktionssatz zu erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Syslog).

Aktion für Sicherheitsereignis konfigurieren

• Klicken Sie auf Aktion hinzufügen und konfigurieren Sie Folgendes:

  • Action Type (Aktionstyp): Wählen Sie Syslog aus.
  • Host: Geben Sie die IP-Adresse des Bindplane-Agents ein.
  • Port: Geben Sie die Portnummer des Bindplane-Agents ein (Standard: 514).
  • Protokoll: Wählen Sie UDP oder TCP aus.
  • Syslog Log Level (Syslog-Logebene): Wählen Sie DEBUG aus.
  • Syslog-Einrichtung: Wählen Sie LOCAL0 aus.
  • Nachrichtenformat: Wählen Sie Gateway-Log – Sicherheitsereignis – Systemprotokoll (Syslog) gemäß CEF-Standard aus.

Aktion für Systemereignis konfigurieren

• Klicken Sie auf Aktion hinzufügen und konfigurieren Sie Folgendes:

  • Vorgangstyp: Wählen Sie Systemlog aus.
  • Host: Geben Sie die IP-Adresse des Bindplane-Agents ein.
  • Port: Geben Sie die Portnummer des Bindplane-Agents ein.
  • Protokoll: Wählen Sie UDP oder TCP aus.
  • Nachrichtenformat: Wählen Sie Systemereignis im Systemprotokoll (syslog) im CEF-Standard protokollieren aus.

Aktionssätze auf Richtlinien anwenden

1. Rufen Sie Richtlinien > Sicherheitsrichtlinien auf.
2. Konfigurieren Sie für jede relevante Richtlinie Followed Actions, um Ihren Aktionssatz zu verwenden.
3. Rufen Sie Richtlinien> Richtlinien für Systemereignisse auf.
4. Konfigurieren Sie Richtlinien für Systemereignisse, um das Aktionsset für ein umfassendes Monitoring zu verwenden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
action	security_result.action_details	Der Wert des Felds action wird dem Feld security_result.action_details zugewiesen.
application-name	target.application	Der Wert des Felds application-name wird dem Feld target.application zugewiesen.
cat	security_result.category_details	Der Wert des Felds cat wird dem Feld security_result.category_details zugewiesen.
class	security_result.detection_fields.value	Der Wert des Felds class wird dem Feld value in security_result.detection_fields zugewiesen. Der entsprechende key ist „class“.
collection_time.seconds	metadata.event_timestamp.seconds	Der Wert von collection_time.seconds aus dem Rohlog wird als Sekundenwert für metadata.event_timestamp verwendet.
create-time	metadata.event_timestamp.seconds	Der Wert von create-time wird geparst und sein Sekundenwert wird als Sekundenwert für metadata.event_timestamp verwendet.
cs1	security_result.rule_name	Der Wert des Felds cs1 wird dem Feld security_result.rule_name zugewiesen.
cs10	target.resource.attribute.labels.value	Der Wert des Felds cs10 wird dem Feld value innerhalb von target.resource.attribute.labels zugewiesen.
cs10Label	target.resource.attribute.labels.key	Der Wert des Felds cs10Label wird dem Feld key innerhalb von target.resource.attribute.labels zugewiesen.
cs11	principal.application	Der Wert des Felds cs11 wird dem Feld principal.application zugewiesen.
cs12	security_result.description	Der Wert des Felds cs12 wird nach dem Entfernen von geschweiften Klammern und Dollarzeichen dem Feld security_result.description zugewiesen.
cs14	target.resource.attribute.labels.value	Der Wert des Felds cs14 wird dem Feld value innerhalb von target.resource.attribute.labels zugewiesen.
cs14Label	target.resource.attribute.labels.key	Der Wert des Felds cs14Label wird dem Feld key in target.resource.attribute.labels zugewiesen.
cs15	security_result.summary	Der Wert des Felds cs15 wird dem Feld security_result.summary zugewiesen.
cs16	principal.process.command_line	Der Wert des Felds cs16 wird dem Feld principal.process.command_line zugewiesen.
cs17	target.resource.resource_subtype	Der Wert des Felds cs17 wird dem Feld target.resource.resource_subtype zugewiesen.
cs2	principal.group.group_display_name	Der Wert des Felds cs2 wird dem Feld principal.group.group_display_name zugewiesen.
cs3	principal.hostname, principal.asset.hostname	Der Wert des Felds cs3 wird sowohl dem Feld principal.hostname als auch dem Feld principal.asset.hostname zugewiesen.
cs4	target.application	Der Wert des Felds cs4 wird dem Feld target.application zugewiesen, sofern der Wert nicht „ProcessWitness“ ist.
cs5	metadata.description	Der Wert des Felds cs5 wird dem Feld metadata.description zugewiesen.
cs6	target.resource_ancestors.name	Der Wert des Felds cs6 wird dem Feld target.resource_ancestors.name zugewiesen.
cs7	target.resource_ancestors.resource_subtype	Der Wert des Felds cs7 wird dem Feld target.resource_ancestors.resource_subtype zugewiesen.
cs8	target.resource.name, target.resource.resource_type	Der Wert des Felds cs8 wird dem Feld target.resource.name zugewiesen und target.resource.resource_type wird auf „DATABASE“ gesetzt.
cs9	principal.user.userid	Der Wert des Felds cs9 wird dem Feld principal.user.userid zugewiesen.
description	security_result.description	Der Wert des Felds description wird dem Feld security_result.description zugewiesen.
dest-ip	target.ip, target.asset.ip	Die aus dem Feld dest-ip extrahierte IP-Adresse wird sowohl dem Feld target.ip als auch dem Feld target.asset.ip zugewiesen.
dest-port	target.port	Der Wert des Felds dest-port wird in eine Ganzzahl konvertiert und dem Feld target.port zugewiesen.
deviceExternalId	intermediary.hostname	Der Wert des Felds deviceExternalId wird dem Feld intermediary.hostname zugewiesen.
dpt	target.port	Der Wert des Felds dpt wird in eine Ganzzahl konvertiert und dem Feld target.port zugewiesen.
dst	target.ip, target.asset.ip	Der Wert des Felds dst wird sowohl dem Feld target.ip als auch dem Feld target.asset.ip zugewiesen.
duser	target.user.userid	Der Wert des Felds duser wird dem Feld target.user.userid zugewiesen.
eventId	metadata.product_log_id	Der Wert des Felds eventId wird dem Feld metadata.product_log_id zugewiesen.
gateway-name	security_result.detection_fields.value	Der Wert des Felds gateway-name wird dem Feld value innerhalb von security_result.detection_fields zugewiesen. Der entsprechende key ist „gateway-name“.
http.request.method	network.http.method	Der Wert des Felds http.request.method wird dem Feld network.http.method zugewiesen.
http.request.user-agent	network.http.user_agent	Der Wert des Felds http.request.user_agent wird dem Feld network.http.user_agent zugewiesen.
http.response.code	network.http.response_code	Der Wert des Felds http.response.code, der in eine Ganzzahl konvertiert wurde, wird dem Feld network.http.response_code zugewiesen.
http.session-id	network.session_id	Der Wert des Felds http.session-id wird dem Feld network.session_id zugewiesen.
http.user-name	principal.user.userid	Der Wert des Felds http.user-name (ohne umgebende Anführungszeichen) wird dem Feld principal.user.userid zugewiesen.
log_type	metadata.log_type	Der Wert des Felds log_type aus dem Rohlog wird dem Feld metadata.log_type zugewiesen.
mx-ip	intermediary.ip	Der Wert des Felds mx-ip wird dem Feld intermediary.ip zugewiesen.
MxIP	intermediary.ip	Der Wert des Felds MxIP wird dem Feld intermediary.ip zugewiesen.
OSUser	principal.user.userid	Der Wert des Felds OSUser wird dem Feld principal.user.userid zugewiesen.
policy-name	security_result.detection_fields.value	Der Wert des Felds policy-name wird dem Feld value in security_result.detection_fields zugewiesen. Der entsprechende key ist „policy-name“.
pquery	target.resource.name, target.process.command_line	Wenn pquery nicht leer ist und das Wort „from“ enthält, wird der Tabellenname extrahiert und target.resource.name zugewiesen, target.resource.resource_type wird auf „TABLE“ gesetzt und der gesamte pquery-Wert wird target.process.command_line zugewiesen. Andernfalls wird der gesamte pquery-Wert target.resource.name zugewiesen.
pro	security_result.description	Der Wert des Felds pro wird dem Feld security_result.description zugewiesen.
product	metadata.product_name	Der Wert des Felds product wird dem Feld metadata.product_name zugewiesen.
product_type	metadata.product_event_type	Der Wert des Felds product_type wird dem Feld metadata.product_event_type zugewiesen.
protocol	network.ip_protocol	Wenn der Wert des Felds protocol „TCP“ oder „UDP“ ist, wird er dem Feld network.ip_protocol zugewiesen.
proto	network.ip_protocol	Der Wert des Felds proto wird dem Feld network.ip_protocol zugewiesen.
reason	security_result.rule_name	Der Wert des Felds reason wird dem Feld security_result.rule_name zugewiesen.
rt	metadata.event_timestamp.seconds	Der Wert von rt wird geparst und der Sekundenwert wird als Sekundenwert für metadata.event_timestamp verwendet.
server-group-name	target.resource.attribute.labels.value	Der Wert des Felds server-group-name wird dem Feld value in target.resource.attribute.labels zugewiesen. Der entsprechende key ist „server-group-name“.
server-group-simulation-mode	target.resource.attribute.labels.value	Der Wert des Felds server-group-simulation-mode wird dem Feld value innerhalb von target.resource.attribute.labels zugewiesen. Der entsprechende key ist „server-group-simulation-mode“.
service-name	target.resource.attribute.labels.value	Der Wert des Felds service-name wird dem Feld value in target.resource.attribute.labels zugewiesen. Der entsprechende key ist „service-name“.
ServiceName	target.application	Wenn ApplicationName nicht leer und ServiceName leer ist, wird der Wert von ApplicationName ServiceName zugewiesen. Der Wert von ServiceName wird dann target.application zugewiesen.
severity	security_result.severity, security_result.severity_details	Der Wert des Felds severity wird in Großbuchstaben konvertiert. Wenn es sich um „LOW“, „MEDIUM“, „HIGH“ oder „CRITICAL“ handelt, wird es security_result.severity zugewiesen. Wenn der Wert „INFORMATIVE“ oder „INFO“ ist, wird security_result.severity auf „INFORMATIONAL“ gesetzt. Der ursprüngliche Wert wird auch security_result.severity_details zugewiesen.
severity_data	security_result.severity	Der Wert des Felds severity_data wird in Großbuchstaben umgewandelt. Wenn es sich um einen der Werte „HIGH“, „LOW“, „MEDIUM“, „CRITICAL“, „ERROR“ oder „INFORMATIONAL“ handelt, wird er security_result.severity zugewiesen.
source-ip	principal.ip, principal.asset.ip	Der Wert des Felds source-ip wird sowohl dem Feld principal.ip als auch dem Feld principal.asset.ip zugewiesen.
source-port	principal.port	Der Wert des Felds source-port, der in eine Ganzzahl konvertiert wurde, wird dem Feld principal.port zugewiesen.
spt	principal.port	Der Wert des Felds spt wird in eine Ganzzahl konvertiert und dem Feld principal.port zugewiesen.
src	principal.ip, principal.asset.ip	Der Wert des Felds src wird sowohl dem Feld principal.ip als auch dem Feld principal.asset.ip zugewiesen.
srcapp	principal.application	Der Wert des Felds srcapp wird dem Feld principal.application zugewiesen.
srchost	principal.hostname, principal.asset.hostname	Der Wert des Felds srchost wird sowohl dem Feld principal.hostname als auch dem Feld principal.asset.hostname zugewiesen.
vendor	metadata.vendor_name	Der Wert des Felds vendor wird dem Feld metadata.vendor_name zugewiesen.
version	metadata.product_version	Der Wert des Felds version wird dem Feld metadata.product_version zugewiesen.
violation-id	security_result.detection_fields.value	Der Wert des Felds violation-id wird dem Feld value in security_result.detection_fields zugewiesen. Der entsprechende key ist „violation-id“.
violation-type	security_result.detection_fields.value	Der Wert des Felds violation-type wird dem Feld value innerhalb von security_result.detection_fields zugewiesen. Der entsprechende key ist „violation-type“.
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
externalId	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
deviceCustomDate1	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
flexString1	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
flexString2	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
flexString2Label	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
requestContext	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
flexNumber1	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cn2	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cn1	event.idm.read_only_udm.metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
ad.host	event.idm.read_only_udm.observer.hostname	Aus Änderungsprotokoll zugeordnet
requestMethod	event.idm.read_only_udm.network.http.method	Aus Änderungsprotokoll zugeordnet
request	event.idm.read_only_udm.target.url	Aus Änderungsprotokoll zugeordnet
msg	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
flexNumber2	event.idm.read_only_udm.network.received_bytes	Aus Änderungsprotokoll zugeordnet
flexString2	event.idm.read_only_udm.network.http.response_code	Aus Änderungsprotokoll zugeordnet
cs6	event.idm.read_only_udm.network.http.user_agent	Aus Änderungsprotokoll zugeordnet
name	event.idm.read_only_udm.metadata.description	Aus Änderungsprotokoll zugeordnet
cs2	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cs3	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cs4	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
suser	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
login_user	event.idm.read_only_udm.principal.user.user_display_name	Aus Änderungsprotokoll zugeordnet
princ_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
cs1	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
cs5	event.idm.read_only_udm.security_result.description	Aus Änderungsprotokoll zugeordnet
device_vendor	event.idm.read_only_udm.metadata.vendor_name	Aus Änderungsprotokoll zugeordnet
device_product	event.idm.read_only_udm.metadata.product_name	Aus Änderungsprotokoll zugeordnet
cs9	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cs9Label	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cs17	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
cs2Label	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
additional_json_data	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cs5	event.idm.read_only_udm.target.application	Aus Änderungsprotokoll zugeordnet
cs4	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
cs6	event.idm.read_only_udm.principal.application	Aus Änderungsprotokoll zugeordnet
cs7	event.idm.read_only_udm.security_result.description	Aus Änderungsprotokoll zugeordnet
cs11	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
cs10	event.idm.read_only_udm.metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
cs15	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
cs9	event.idm.read_only_udm.security_result.threat_id	Aus Änderungsprotokoll zugeordnet
cs12	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
inter_host	event.idm.read_only_udm.intermediary.hostname	Aus Änderungsprotokoll zugeordnet
cs13	event.idm.read_only_udm.principal.hostname	Aus Änderungsprotokoll zugeordnet
cs13	metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
cs1Label	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
cs2Label	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
cs3Label	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
cs5Label	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
cs10Label	additional.fields	Aus Änderungsprotokoll zugeordnet
cs12Label	additional.fields	Aus Änderungsprotokoll zugeordnet
cs13Label	additional.fields	Aus Änderungsprotokoll zugeordnet
cs14Label	additional.fields	Aus Änderungsprotokoll zugeordnet
cs16Label	additional.fields	Aus Änderungsprotokoll zugeordnet
cs17Label	additional.fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten