Claroty xDome for Healthcare-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Claroty xDome for Healthcare-Logs mit dem Bindplane-Agent in Google SecOps aufnehmen können.

Claroty xDome for Healthcare (früher Medigate Device Security Platform) ist eine auf das Gesundheitswesen ausgerichtete Cybersicherheitsplattform, die Sichtbarkeit, Bedrohungserkennung und Risikomanagement für medizinische IoT-Geräte (XIoT) bietet. Die Plattform überwacht verbundene medizinische Geräte, identifiziert Sicherheitslücken, erkennt anomales Verhalten und liefert umsetzbare Informationen, um Gesundheitsnetzwerke vor Cyberbedrohungen zu schützen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem BindPlane-Agent und Claroty xDome for Healthcare
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Berechtigter Zugriff auf die Verwaltungskonsole von Claroty xDome for Healthcare
  • Administrator- oder Sicherheitsmanagerrolle in Claroty xDome for Healthcare

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.
  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
    
  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector
    

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.
  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
    
  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector
    

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml
    
  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
    

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
      syslog:
        tcp:
          listen_address: "0.0.0.0:514"
        protocol: rfc5424
    
    exporters:
      chronicle/claroty_xdome:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: MEDIGATE_IOT
        raw_log_field: body
    
    service:
      pipelines:
        logs/claroty_to_chronicle:
          receivers:
            - syslog
          exporters:
            - chronicle/claroty_xdome
    

Konfigurationsparameter

  • Ersetzen Sie die folgenden Platzhalter:

    • Empfängerkonfiguration:

      • Der Empfänger ist für TCP-Syslog mit dem RFC 5424-Protokoll konfiguriert.
      • Die Listen-Adresse 0.0.0.0:514 akzeptiert Verbindungen auf allen Schnittstellen an Port 514.
      • Verwenden Sie für Linux-Installationen ohne Root-Zugriff den Port 1514 anstelle von 514.
    • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:

      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Ersetzen Sie YOUR_CUSTOMER_ID durch die Kunden-ID aus dem vorherigen Schritt.

    • endpoint: Regionale Endpunkt-URL:

      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • log_type: Auf MEDIGATE_IOT festgelegt (unterstützt sowohl Claroty- als auch Medigate-Logformate)

  • Beispielkonfiguration für Linux

    receivers:
    syslog:
      tcp:
        listen_address: "0.0.0.0:1514"
      protocol: rfc5424
    
    exporters:
    chronicle/claroty_xdome:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
      ingestion_labels:
        env: production
        source: claroty_xdome
    
    service:
    pipelines:
      logs/claroty_to_chronicle:
        receivers:
          - syslog
        exporters:
          - chronicle/claroty_xdome
    

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector
    
  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector
    
  3. Logs auf Fehler prüfen:

    sudo journalctl -u observiq-otel-collector -f
    

So starten Sie den Bindplane-Agent unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    
    • Services Console:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector
    
  3. Logs auf Fehler prüfen:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
    

Syslog-Weiterleitung für Claroty xDome for Healthcare konfigurieren

In Claroty xDome for Healthcare anmelden

  1. Melden Sie sich in der Webkonsole von Claroty xDome for Healthcare an.
  2. Gehe zu Einstellungen > Systemeinstellungen > Meine Integrationen.

Neue Syslog-Integration erstellen

  1. Klicken Sie auf Integration hinzufügen.
  2. Wählen Sie im Drop-down-Menü Integrationstyp die Option Syslog aus.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Name der Integration: Geben Sie einen aussagekräftigen Namen ein, z. B. Chronicle-SIEM.
    • Beschreibung (optional): Geben Sie Integration with Google Chronicle SIEM ein.

Syslog-Servereinstellungen konfigurieren

Geben Sie im Abschnitt Syslog-Server die folgenden Details an:

  • Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein, z. B. 192.168.1.100.
  • Port: Geben Sie 514 ein (oder 1514, wenn Sie eine Nicht-Root-Linux-Installation verwenden).
  • Protokoll: Wählen Sie TCP aus.
  • Nachrichtenformat: Wählen Sie CEF (Common Event Format) aus.
  • Syslog Protocol Standard: Wählen Sie RFC 5424 aus.

Zu exportierende Logtypen auswählen

Wählen Sie im Abschnitt Export Types (Exporttypen) die Logtypen aus, die an Google SecOps weitergeleitet werden sollen:

  • Benachrichtigungen: Sicherheits- und Risikobenachrichtigungen
  • Sicherheitslücken: CVE-Daten und Informationen zu Sicherheitslücken
  • Geräteänderungen: Änderungen am Asset-Inventar
  • OT Activity Events (OT-Aktivitätsereignisse): Kommunikationsevents für Betriebstechnologie

Zeitzoneneinstellungen konfigurieren

  1. Wählen Sie im Bereich Zeitzone im Drop-down-Menü die Option UTC aus.

Konfiguration testen und speichern

  1. Klicken Sie auf Verbindung testen, um die Verbindung zum Bindplane-Agent zu prüfen.
  2. Prüfen Sie, ob beim Test Connection Successful (Verbindung erfolgreich) angezeigt wird.
  3. Klicken Sie auf Speichern, um die Syslog-Integration zu aktivieren.

Logweiterleitung überprüfen

  1. Warten Sie 5 bis 10 Minuten, bis die Logs eingehen.
  2. Prüfen Sie die Bindplane-Agenten-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden:

    • Linux:
    sudo journalctl -u observiq-otel-collector -f | grep -i claroty
    
    • Windows:
    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i claroty
    
  3. Melden Sie sich in der Google SecOps-Konsole an und prüfen Sie, ob die Claroty xDome for Healthcare-Logs in den Suchergebnissen angezeigt werden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
info_ip_desc about.labels Mit dem Ereignis verknüpfte Labels
info.as_org about.labels
info.org about.labels
info.isp about.labels
info.country_code about.labels
info.malicious_anomali_info.itype about.labels
info.malicious_anomali_info.ip about.labels
info.malicious_anomali_info.source about.labels
info.malicious_anomali_info.org about.labels
info.malicious_anomali_info.country about.labels
info.malicious_anomali_info.classification about.labels
info.malicious_anomali_info.maltype about.labels
info.malicious_anomali_info.stream_id about.labels
info.malicious_anomali_info.threat_type about.labels
info.malicious_anomali_info.resource_uri about.labels
info.malicious_anomali_info.threatscore about.labels
info.malicious_anomali_info.confidence about.labels
info.malicious_anomali_info.source_reported_confidence about.labels
info.protocol about.labels
info.human_name about.labels
info.dest.human_name about.labels
info.network about.labels
info.parent_human_name about.labels
info.parent_uid about.labels
target_ip_desc about.labels
label_resource_uri about.labels
label_threatscore about.labels
label_confidence about.labels
label_source_reported_confidence about.labels
alert.mitre_technique_ids additional.fields Zusätzliche Metadaten zum Ereignis im Freiformat
alert.mitre_technique_names additional.fields
alert.mitre_technique_enterprise_ids additional.fields
alert.mitre_technique_enterprise_names additional.fields
affected_device.device_type_family additional.fields
affected_device.connection_type_list additional.fields
affected_device.network_list additional.fields
msg_category additional.fields
interface_name additional.fields
interface_type additional.fields
Status additional.fields
alert_info.certificate_thumbprint additional.fields
alert_info.certificate_expiry_date additional.fields
alert_info.certificate_start_date additional.fields
alert_info.certificate_type additional.fields
affected_device.management_status additional.fields
affected_device.labels additional.fields
affected_device.site_name additional.fields
events_extra_info.client_id additional.fields
extensions.auth.type extensions.auth.type Authentifizierungstyp
Hostname intermediary.hostname Hostname des Vermittlers
events_extra_info.malicious_ip_info.malicious_ip intermediary.ip IP-Adresse des Vermittlers
incident_type metadata.description Eine Beschreibung des Ereignisses
Text metadata.description
events.description metadata.description
metadata.event_type metadata.event_type Ereignistyp
event_type metadata.product_event_type Produktereignistyp
events.type metadata.product_event_type
incident_id metadata.product_log_id Produkt-Log-ID
events.id metadata.product_log_id
network.application_protocol network.application_protocol Anwendungsprotokoll
network.direction network.direction Richtung der Netzwerkverbindung
protocol_number_src network.ip_protocol IP-Protokoll
server_name network.tls.client.server_name Vom Client während des TLS-Handshake angegebener Servername
alert_info.certificate_thumbprint network.tls.server.certificate.sha256 SHA256-Hash des Serverzertifikats
Version network.tls.version TLS-Version
Proto network.tls.version_protocol TLS-Versionsprotokoll
info.domain principal.administrative_domain Verwaltungsbereich des Auftraggebers
events_extra_info.domain principal.administrative_domain
affected_device.asset_id principal.asset.asset_id Asset-ID des Assets
Hardware principal.asset.hardware Hardware des Assets
affected_device.device_name principal.asset.hostname Hostname des Assets
events_extra_info.certificate_info.CN principal.asset.hostname
management_ip principal.asset.ip IP-Adresse des Assets
info.ip principal.asset.ip
comm_tuple.src_ip principal.asset.ip
info.tuple.2 principal.asset.ip
info.tuple.3 principal.asset.ip
affected_device.ip_list principal.asset.ip
info.subject_components.CN principal.hostname Hostname des Prinzipals
affected_device.device_name principal.hostname
events_extra_info.certificate_info.CN principal.hostname
management_ip principal.ip IP-Adresse des Auftraggebers
info.ip principal.ip
comm_tuple.src_ip principal.ip
info.tuple.2 principal.ip
info.tuple.3 principal.ip
affected_device.ip_list principal.ip
info.subject_components.L principal.location.city Stadt des Standorts
events_extra_info.certificate_info.L principal.location.city
Standort principal.location.country_or_region Land oder Region des Standorts
info.subject_components.C principal.location.country_or_region
events_extra_info.certificate_info.C principal.location.country_or_region
info.subject_components.ST principal.location.state Bundesland des Standorts
events_extra_info.certificate_info.ST principal.location.state
principal.platform principal.platform Plattform des Auftraggebers
affected_device.os principal.platform_version Plattformversion des Prinzipal
device_uid principal.resource.id ID der Ressource
info.device_type_family principal.resource.name Name der Ressource
affected_device.device_type principal.resource.name
affected_device.uid principal.resource.product_object_id Produktobjekt-ID der Ressource
affected_device.device_category principal.resource.resource_subtype Untertyp der Ressource
principal.resource.resource_type principal.resource.resource_type Typ der Ressource
info.device_category principal.resource.type Typ der Ressource
updated_by principal.user.userid Nutzer-ID des Nutzers
info.login_username principal.user.userid
events_extra_info.sender_id principal.user.userid
events_extra_info.username principal.user.userid
info.malicious_anomali_info.itype security_result.about.labels Mit dem Sicherheitsergebnis verknüpfte Labels
info.malicious_anomali_info.ip security_result.about.labels
info.malicious_anomali_info.source security_result.about.labels
info.malicious_anomali_info.org security_result.about.labels
info.malicious_anomali_info.country security_result.about.labels
info.malicious_anomali_info.classification security_result.about.labels
info.malicious_anomali_info.maltype security_result.about.labels
info.malicious_anomali_info.stream_id security_result.about.labels
info.malicious_anomali_info.threat_type security_result.about.labels
events_extra_info.malicious_ip_info.source security_result.about.labels
events_extra_info.malicious_ip_info.threat_type security_result.about.labels
security_result.category security_result.category Kategorie des Sicherheitsergebnisses
alert.category security_result.category_details Kategoriedetails des Sicherheitsergebnisses
events_extra_info.malicious_ip_info.type security_result.category_details
events_extra_info.malicious_ip_info.confidence security_result.confidence_details Details zur Konfidenz des Sicherheitsergebnisses
alert.description security_result.description Beschreibung des Sicherheitsergebnisses
alert.type_name security_result.detection_fields Erkennungsfelder, die mit dem Sicherheitsergebnis verknüpft sind
alert.device_status security_result.detection_fields
alert.category security_result.detection_fields
alert.description security_result.detection_fields
vulnerability_info.name security_result.detection_fields
vulnerability_info.type security_result.detection_fields
vulnerability_info.release_date security_result.detection_fields
vulnerability_info.cves security_result.detection_fields
vulnerability_info.cvssv3_base_score security_result.detection_fields
vulnerability_info.description security_result.detection_fields
vulnerability_info.affected_products security_result.detection_fields
vulnerability_info.is_known_exploited security_result.detection_fields
vulnerability_device_info.relevance_source security_result.detection_fields
vulnerability_info.cvssv2_base_score security_result.detection_fields
affected_device.device_subcategory security_result.detection_fields
affected_device.retired security_result.detection_fields
affected_device.app_version security_result.detection_fields
events_extra_info.communication_type security_result.detection_fields
events_extra_info.malicious_ip_info.tags security_result.detection_fields
alert_info.certificate_thumbprint security_result.detection_fields
alert_info.certificate_expiry_date security_result.detection_fields
alert_info.certificate_start_date security_result.detection_fields
alert_info.certificate_type security_result.detection_fields
alert.id security_result.rule_id Regel-ID des Sicherheitsergebnisses
events.alert_id security_result.rule_id
alert.name security_result.rule_name Regelname des Sicherheitsergebnisses
info.malicious_anomali_info.severity security_result.severity Schweregrad des Sicherheitsergebnisses
affected_device.risk_score security_result.severity_details Details zum Schweregrad des Sicherheitsergebnisses
info.malicious_anomali_info.threat_type security_result.threat_name Name der Bedrohung des Sicherheitsergebnisses
events_extra_info.malicious_ip_info.threat_type security_result.threat_name
target.asset.hostname target.asset.hostname Hostname des Ziel-Assets
info.tuple.3 target.asset.ip IP-Adresse des Ziel-Assets
info.tuple.2 target.asset.ip
comm_tuple.dst_ip target.asset.ip
info.file_name target.file.full_path Vollständiger Pfad der Zieldatei
events_extra_info.file_name target.file.full_path
events_extra_info.file_type target.file.mime_type MIME-Typ der Zieldatei
info.fqdn target.hostname Hostname des Ziels
info.tuple.3 target.ip IP-Adresse des Ziels
info.tuple.2 target.ip
comm_tuple.dst_ip target.ip
country target.location.country_or_region Land oder Region des Zielorts
info.geolocation target.location.country_or_region
country target.location.country_or_region
events_extra_info.geo_location target.location.country_or_region
state target.location.state Status des Zielstandorts
state target.location.state
target_mac target.mac MAC-Adresse des Ziels
comm_tuple.dst_mac target.mac
comm_tuple.dst_port target.port Port des Ziels
dest_device_uid target.resource.id ID der Zielressource
info.login_username target.user.userid Nutzer-ID des Zielnutzers
events_extra_info.username target.user.userid
metadata.product_name metadata.product_name Produktname
metadata.vendor_name metadata.vendor_name Anbietername
events.id event.idm.read_only_udm.metadata.product_log_id Aus dem Änderungsprotokoll zugeordnet
affected_device.device_name event.idm.read_only_udm.principal.hostname Aus dem Änderungsprotokoll zugeordnet
affected_device.device_name event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
management_ip event.idm.read_only_udm.principal.ip Aus dem Änderungsprotokoll zugeordnet
management_ip event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
updated_by event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
affected_device.os event.idm.read_only_udm.principal.platform_version Aus dem Änderungsprotokoll zugeordnet
affected_device.management_status event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
affected_device.labels event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
events_extra_info.direction event.idm.read_only_udm.network.direction Aus dem Änderungsprotokoll zugeordnet
events_extra_info.ip_protocol event.idm.read_only_udm.network.ip_protocol Aus dem Änderungsprotokoll zugeordnet
events.alert_id event.idm.read_only_udm.security_result.rule_id Aus dem Änderungsprotokoll zugeordnet
affected_device.risk_score event.idm.read_only_udm.security_result.severity_details Aus dem Änderungsprotokoll zugeordnet
events_extra_info.communication_type event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
vulnerability_info.name", "vulnerability_info.type", "vulnerability_info.release_date", "cve", "vulnerability_info.cvssv3_base_score", "vulnerability_info.description", "vulnerability_info.affected_products", "vulnerability_info.is_known_exploited", "vulnerability_device_info.relevance", "vulnerability_device_info.relevance_source", "vulnerability_info.cvssv2_base_score", "affected_device.device_subcategory", "affected_device.retired", and "affected_device.app_version security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
alert.type_name", "alert.device_status", "alert_info.certificate_thumbprint", "alert_info.certificate_expiry_date", "alert_info.certificate_start_date", and "alert_info.certificate_type security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
alert.mitre_technique_ids", "alert.mitre_technique_names", "alert.mitre_technique_enterprise_ids", "alert.mitre_technique_enterprise_names", "affected_device.device_type_family", "affected_device.connection_type_list", and "affected_device.network_list additional.fields Aus dem Änderungsprotokoll zugeordnet
affected_device.mac_list principal.mac Aus dem Änderungsprotokoll zugeordnet
msg_category", "interface_name", "interface_type", and "status additional.fields Aus dem Änderungsprotokoll zugeordnet
event_extra_info.malicious_ip_info.confidence security_result.confidence_details Aus dem Änderungsprotokoll zugeordnet
event_extra_info.malicious_ip_info.last_update target.file.mime_type Aus dem Änderungsprotokoll zugeordnet
event_extra_info.malicious_ip_info.tags security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
event_extra_info.malicious_ip_info.type security_result.category_details Aus dem Änderungsprotokoll zugeordnet
events.timestamp metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
events_extra_info.malicious_ip_info.severity security_result.severity Aus dem Änderungsprotokoll zugeordnet
events_extra_info.client_id" and "affected_device.site_name additional_fields Aus dem Änderungsprotokoll zugeordnet
comm_tuple.src_port principal.port Aus dem Änderungsprotokoll zugeordnet
comm_tuple.src_mac principal.mac Aus dem Änderungsprotokoll zugeordnet
affected_device.manufacturer hardware.manufacturer Aus dem Änderungsprotokoll zugeordnet
affected_device.model hardware.model Aus dem Änderungsprotokoll zugeordnet
metadata.event_type NETWORK_HTTP Aus dem Änderungsprotokoll zugeordnet
metadata.event_type NETWORK_FTP Aus dem Änderungsprotokoll zugeordnet
security_category NETWORK_MALICIOUS Aus dem Änderungsprotokoll zugeordnet
metadata.event_type USER_LOGIN Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten