איסוף יומני Imperva SecureSphere Management

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני Imperva SecureSphere Management ב-Google Security Operations באמצעות סוכן Bindplane.

‫Imperva SecureSphere היא פלטפורמה של חומת אש ליישומי אינטרנט (WAF), אבטחת מסדי נתונים ואבטחת קבצים, שיוצרת הודעות syslog בפורמט CEF לאירועי אבטחה, לאירועי מערכת ולהפרות מדיניות. מנתח הנתונים מחלץ שדות מהודעות CEF באמצעות ניתוח של grok ושל ערכי מפתח, וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין שרת Imperva SecureSphere Management
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות למסוף הניהול של Imperva SecureSphere

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/imperva_securesphere:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: IMPERVA_SECURESPHERE
    raw_log_field: body

service:
  pipelines:
    logs/imperva_securesphere_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/imperva_securesphere

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/imperva_securesphere:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: IMPERVA_SECURESPHERE
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Imperva SecureSphere Management

  1. נכנסים למסוף הניהול של Imperva SecureSphere.
  2. עוברים אל הגדרה > קבוצות פעולות.
  3. לוחצים על הוספה כדי ליצור קבוצת פעולות חדשה.
  4. מזינים את פרטי ההגדרה הבאים:
    • שם: מזינים שם תיאורי (לדוגמה, Google SecOps Syslog).

הגדרת פעולה לאירוע אבטחה

  • לוחצים על הוספת פעולה ומגדירים:

    • ‫Action Type (סוג הפעולה): בוחרים באפשרות Syslog.
    • ‫Host: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה של סוכן Bindplane (ברירת המחדל היא 514).
    • פרוטוקול: בוחרים באפשרות UDP או TCP.
    • Syslog Log Level (רמת היומן של Syslog): בוחרים באפשרות DEBUG (ניפוי באגים).
    • ‫Syslog Facility: בוחרים באפשרות LOCAL0.
    • פורמט ההודעה: בוחרים באפשרות יומן שער – אירוע אבטחה – יומן מערכת (syslog) באמצעות תקן CEF.

הגדרת פעולה של אירוע מערכת

  • לוחצים על הוספת פעולה ומגדירים:

    • סוג הפעולה: בוחרים באפשרות יומן המערכת.
    • ‫Host: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה של סוכן Bindplane.
    • פרוטוקול: בוחרים באפשרות UDP או TCP.
    • פורמט ההודעה: בוחרים באפשרות רישום אירוע מערכת ביומן המערכת (syslog) באמצעות תקן CEF.

החלת קבוצות פעולות על כללי מדיניות

  1. עוברים אל מדיניות > מדיניות אבטחה.
  2. בכל מדיניות רלוונטית, מגדירים את הפעולות הבאות כך שישתמשו בקבוצת הפעולות.
  3. עוברים אל מדיניות > מדיניות בנושא אירועי מערכת.
  4. מגדירים כללי מדיניות לאירועי מערכת כדי להשתמש בקבוצת הפעולות למעקב מקיף.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
action security_result.action_details הערך של השדה action מוקצה לשדה security_result.action_details.
application-name target.application הערך של השדה application-name מוקצה לשדה target.application.
cat security_result.category_details הערך של השדה cat מוקצה לשדה security_result.category_details.
class security_result.detection_fields.value הערך של השדה class מוקצה לשדה value בתוך security_result.detection_fields. הערך התואם של key הוא "class".
collection_time.seconds metadata.event_timestamp.seconds הערך של collection_time.seconds מהיומן הגולמי משמש כערך השניות של metadata.event_timestamp.
create-time metadata.event_timestamp.seconds המערכת מנתחת את הערך של create-time ומשתמשת בערך השניות שלו כערך השניות של metadata.event_timestamp.
cs1 security_result.rule_name הערך של השדה cs1 מוקצה לשדה security_result.rule_name.
cs10 target.resource.attribute.labels.value הערך של השדה cs10 מוקצה לשדה value בתוך target.resource.attribute.labels.
cs10Label target.resource.attribute.labels.key הערך של השדה cs10Label מוקצה לשדה key בתוך target.resource.attribute.labels.
cs11 principal.application הערך של השדה cs11 מוקצה לשדה principal.application.
cs12 security_result.description הערך של השדה cs12, אחרי הסרת הסוגריים המסולסלים וסימני הדולר, מוקצה לשדה security_result.description.
cs14 target.resource.attribute.labels.value הערך של השדה cs14 מוקצה לשדה value בתוך target.resource.attribute.labels.
cs14Label target.resource.attribute.labels.key הערך של השדה cs14Label מוקצה לשדה key בתוך target.resource.attribute.labels.
cs15 security_result.summary הערך של השדה cs15 מוקצה לשדה security_result.summary.
cs16 principal.process.command_line הערך של השדה cs16 מוקצה לשדה principal.process.command_line.
cs17 target.resource.resource_subtype הערך של השדה cs17 מוקצה לשדה target.resource.resource_subtype.
cs2 principal.group.group_display_name הערך של השדה cs2 מוקצה לשדה principal.group.group_display_name.
cs3 principal.hostname, principal.asset.hostname הערך של השדה cs3 מוקצה לשדות principal.hostname ו-principal.asset.hostname.
cs4 target.application הערך של השדה cs4 מוקצה לשדה target.application, אלא אם הערך הוא "ProcessWitness".
cs5 metadata.description הערך של השדה cs5 מוקצה לשדה metadata.description.
cs6 target.resource_ancestors.name הערך של השדה cs6 מוקצה לשדה target.resource_ancestors.name.
cs7 target.resource_ancestors.resource_subtype הערך של השדה cs7 מוקצה לשדה target.resource_ancestors.resource_subtype.
cs8 target.resource.name, target.resource.resource_type הערך של השדה cs8 מוקצה לשדה target.resource.name, והשדה target.resource.resource_type מוגדר כ-DATABASE.
cs9 principal.user.userid הערך של השדה cs9 מוקצה לשדה principal.user.userid.
description security_result.description הערך של השדה description מוקצה לשדה security_result.description.
dest-ip target.ip, target.asset.ip כתובת ה-IP שחולצה מהשדה dest-ip מוקצית לשדות target.ip ו-target.asset.ip.
dest-port target.port הערך של השדה dest-port, שהומר למספר שלם, מוקצה לשדה target.port.
deviceExternalId intermediary.hostname הערך של השדה deviceExternalId מוקצה לשדה intermediary.hostname.
dpt target.port הערך של השדה dpt, שהומר למספר שלם, מוקצה לשדה target.port.
dst target.ip, target.asset.ip הערך של השדה dst מוקצה לשדות target.ip ו-target.asset.ip.
duser target.user.userid הערך של השדה duser מוקצה לשדה target.user.userid.
eventId metadata.product_log_id הערך של השדה eventId מוקצה לשדה metadata.product_log_id.
gateway-name security_result.detection_fields.value הערך של השדה gateway-name מוקצה לשדה value בתוך security_result.detection_fields. הערך התואם של key הוא "gateway-name".
http.request.method network.http.method הערך של השדה http.request.method מוקצה לשדה network.http.method.
http.request.user-agent network.http.user_agent הערך של השדה http.request.user_agent מוקצה לשדה network.http.user_agent.
http.response.code network.http.response_code הערך של השדה http.response.code, שהומר למספר שלם, מוקצה לשדה network.http.response_code.
http.session-id network.session_id הערך של השדה http.session-id מוקצה לשדה network.session_id.
http.user-name principal.user.userid הערך של השדה http.user-name, בלי המירכאות שמסביב, מוקצה לשדה principal.user.userid.
log_type metadata.log_type הערך של השדה log_type מהיומן הגולמי מוקצה לשדה metadata.log_type.
mx-ip intermediary.ip הערך של השדה mx-ip מוקצה לשדה intermediary.ip.
MxIP intermediary.ip הערך של השדה MxIP מוקצה לשדה intermediary.ip.
OSUser principal.user.userid הערך של השדה OSUser מוקצה לשדה principal.user.userid.
policy-name security_result.detection_fields.value הערך של השדה policy-name מוקצה לשדה value בתוך security_result.detection_fields. הערך התואם של key הוא "policy-name".
pquery target.resource.name, target.process.command_line אם pquery לא ריק ומכיל את המילה "from", שם הטבלה נשלף ומוקצה ל-target.resource.name, הערך של target.resource.resource_type מוגדר כ-"TABLE", וכל הערך של pquery מוקצה ל-target.process.command_line. אחרת, הערך המלא של pquery מוקצה ל-target.resource.name.
pro security_result.description הערך של השדה pro מוקצה לשדה security_result.description.
product metadata.product_name הערך של השדה product מוקצה לשדה metadata.product_name.
product_type metadata.product_event_type הערך של השדה product_type מוקצה לשדה metadata.product_event_type.
protocol network.ip_protocol אם הערך של השדה protocol הוא "TCP" או "UDP", הוא מוקצה לשדה network.ip_protocol.
proto network.ip_protocol הערך של השדה proto מוקצה לשדה network.ip_protocol.
reason security_result.rule_name הערך של השדה reason מוקצה לשדה security_result.rule_name.
rt metadata.event_timestamp.seconds המערכת מנתחת את הערך של rt ומשתמשת בערך השניות שלו כערך השניות של metadata.event_timestamp.
server-group-name target.resource.attribute.labels.value הערך של השדה server-group-name מוקצה לשדה value בתוך target.resource.attribute.labels. הערך התואם של key הוא "server-group-name".
server-group-simulation-mode target.resource.attribute.labels.value הערך של השדה server-group-simulation-mode מוקצה לשדה value בתוך target.resource.attribute.labels. הערך התואם של key הוא "server-group-simulation-mode".
service-name target.resource.attribute.labels.value הערך של השדה service-name מוקצה לשדה value בתוך target.resource.attribute.labels. הערך התואם של key הוא "service-name".
ServiceName target.application אם ApplicationName לא ריק ו-ServiceName ריק, הערך של ApplicationName מוקצה ל-ServiceName. הערך של ServiceName מוקצה ל-target.application.
severity security_result.severity, security_result.severity_details הערך של השדה severity מומר לאותיות רישיות. אם הערך הוא LOW,‏ MEDIUM,‏ HIGH או CRITICAL, הוא מוקצה ל-security_result.severity. אם הערך הוא "INFORMATIVE" או "INFO", הערך של security_result.severity מוגדר כ-"INFORMATIONAL". הערך המקורי מוקצה גם ל-security_result.severity_details.
severity_data security_result.severity הערך של השדה severity_data מומר לאותיות רישיות. אם הערך הוא אחד מהבאים: "HIGH",‏ "LOW",‏ "MEDIUM",‏ "CRITICAL",‏ "ERROR",‏ "INFORMATIONAL", הוא מוקצה ל-security_result.severity.
source-ip principal.ip, principal.asset.ip הערך של השדה source-ip מוקצה לשדות principal.ip ו-principal.asset.ip.
source-port principal.port הערך של השדה source-port, שהומר למספר שלם, מוקצה לשדה principal.port.
spt principal.port הערך של השדה spt, שהומר למספר שלם, מוקצה לשדה principal.port.
src principal.ip, principal.asset.ip הערך של השדה src מוקצה לשדות principal.ip ו-principal.asset.ip.
srcapp principal.application הערך של השדה srcapp מוקצה לשדה principal.application.
srchost principal.hostname, principal.asset.hostname הערך של השדה srchost מוקצה לשדות principal.hostname ו-principal.asset.hostname.
vendor metadata.vendor_name הערך של השדה vendor מוקצה לשדה metadata.vendor_name.
version metadata.product_version הערך של השדה version מוקצה לשדה metadata.product_version.
violation-id security_result.detection_fields.value הערך של השדה violation-id מוקצה לשדה value בתוך security_result.detection_fields. הערך התואם של key הוא "violation-id".
violation-type security_result.detection_fields.value הערך של השדה violation-type מוקצה לשדה value בתוך security_result.detection_fields. הערך המתאים של key הוא "violation-type".
timestamp event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
externalId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
deviceCustomDate1 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
flexString1 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
flexString2 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
flexString2Label event.idm.read_only_udm.additional.fields מופה מיומן השינויים
requestContext event.idm.read_only_udm.additional.fields מופה מיומן השינויים
flexNumber1 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cn2 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cn1 event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
ad.host event.idm.read_only_udm.observer.hostname מופה מיומן השינויים
requestMethod event.idm.read_only_udm.network.http.method מופה מיומן השינויים
request event.idm.read_only_udm.target.url מופה מיומן השינויים
msg event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
flexNumber2 event.idm.read_only_udm.network.received_bytes מופה מיומן השינויים
flexString2 event.idm.read_only_udm.network.http.response_code מופה מיומן השינויים
cs6 event.idm.read_only_udm.network.http.user_agent מופה מיומן השינויים
name event.idm.read_only_udm.metadata.description מופה מיומן השינויים
cs2 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cs3 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cs4 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
suser event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
login_user event.idm.read_only_udm.principal.user.user_display_name מופה מיומן השינויים
princ_ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
cs1 event.idm.read_only_udm.security_result.rule_name מופה מיומן השינויים
cs5 event.idm.read_only_udm.security_result.description מופה מיומן השינויים
device_vendor event.idm.read_only_udm.metadata.vendor_name מופה מיומן השינויים
device_product event.idm.read_only_udm.metadata.product_name מופה מיומן השינויים
cs9 event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cs9Label event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cs17 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
cs2Label event.idm.read_only_udm.additional.fields מופה מיומן השינויים
additional_json_data event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cs5 event.idm.read_only_udm.target.application מופה מיומן השינויים
cs4 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
cs6 event.idm.read_only_udm.principal.application מופה מיומן השינויים
cs7 event.idm.read_only_udm.security_result.description מופה מיומן השינויים
cs11 event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
cs10 event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
cs15 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
cs9 event.idm.read_only_udm.security_result.threat_id מופה מיומן השינויים
cs12 event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
inter_host event.idm.read_only_udm.intermediary.hostname מופה מיומן השינויים
cs13 event.idm.read_only_udm.principal.hostname מופה מיומן השינויים
cs13 metadata.product_log_id מופה מיומן השינויים
cs1Label security_result.detection_fields מופה מיומן השינויים
cs2Label security_result.detection_fields מופה מיומן השינויים
cs3Label security_result.detection_fields מופה מיומן השינויים
cs5Label security_result.detection_fields מופה מיומן השינויים
cs10Label additional.fields מופה מיומן השינויים
cs12Label additional.fields מופה מיומן השינויים
cs13Label additional.fields מופה מיומן השינויים
cs14Label additional.fields מופה מיומן השינויים
cs16Label additional.fields מופה מיומן השינויים
cs17Label additional.fields מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.