MSIP-Logs (Menlo Security Isolation Platform) erfassen

Unterstützt in:

In diesem Leitfaden wird beschrieben, wie Sie MSIP-Logs (Menlo Security Isolation Platform) mit Google Cloud Storage in Google SecOps aufnehmen können.

Beim isolierungszentrierten Ansatz von Menlo Security werden das Surfen im Web und das Abrufen von Dokumenten zwischen dem Gerät des Nutzers und einem isolierten, temporären virtuellen Container (Disposable Virtual Container, DVC) außerhalb des Endpunkts aufgeteilt. Der gesamte riskante Code wird im isolierten DVC ausgeführt und erreicht den Endpunkt nie. Es werden nur sichere Anzeigedaten an den Browser des Nutzers gesendet. Die Plattform bietet umfassende Protokollierung für Webzugriff, Audit-Ereignisse, E‑Mail-Sicherheit, DLP-Verstöße und SMTP-Aktivitäten.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf das Menlo Security Admin Portal
  • Berechtigungen zum Erstellen von API-Tokens in Menlo Security
  • Ein GCP-Projekt mit aktivierten Cloud Storage-, Cloud Run-, Pub/Sub- und Cloud Scheduler-APIs

Menlo Security-API-Zugriff konfigurieren

Damit die Cloud Run-Funktion Logs abrufen kann, müssen Sie ein API-Token mit der Berechtigung „Log Export API“ erstellen.

API-Token erstellen

  1. Melden Sie sich unter https://admin.menlosecurity.com im Menlo Security Admin Portal an.
  2. Rufen Sie die Einstellungen> Authentifizierung > API-Tokens auf.
  3. Klicken Sie auf Token erstellen.
  4. Geben Sie im Feld Token Name einen aussagekräftigen Namen ein, z. B. Chronicle GCS Integration.
  5. Wählen Sie im Bereich Berechtigungen die Option Log Export API aus.
  6. Klicken Sie auf Erstellen oder Speichern.
  7. Kopieren Sie das generierte API-Token und speichern Sie es sicher.

Wichtig: Das API-Token wird nur einmal angezeigt. Bewahren Sie ihn unmittelbar nach der Erstellung an einem sicheren Ort auf.

Erforderliche API-Berechtigungen

  • Für das API-Token ist die folgende Berechtigung erforderlich:

    Berechtigung/Bereich Zugriffsebene Zweck
    Log Export API Lesen Protokolle über die Menlo Security API abrufen

Google Cloud Storage-Bucket erstellen

  1. Gehen Sie zur Google Cloud Console.
  2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
  3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
  4. Klicken Sie auf Bucket erstellen.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Bucket benennen Geben Sie einen global eindeutigen Namen ein, z. B. menlo-security-logs.
    Standorttyp Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
    Standort Wählen Sie den Speicherort aus, z. B. us-central1.
    Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
    Zugriffskontrolle Einheitlich (empfohlen)
    Schutztools Optional: Objektversionierung oder Aufbewahrungsrichtlinie aktivieren

  6. Klicken Sie auf Erstellen.

Dienstkonto für Cloud Run-Funktion erstellen

Dienstkonto erstellen

  1. Wechseln Sie in der GCP Console zu IAM und Verwaltung > Dienstkonten.
  2. Klicken Sie auf Dienstkonto erstellen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie menlo-logs-collector-sa ein.
    • Beschreibung des Dienstkontos: Geben Sie Service account for Cloud Run function to collect Menlo Security logs ein.
  4. Klicken Sie auf Erstellen und fortfahren.
  5. Fügen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen die folgenden Rollen hinzu:
    1. Klicken Sie auf Rolle auswählen.
    2. Suchen Sie nach Storage Object Admin und wählen Sie die Rolle aus.
    3. Klicken Sie auf + Weitere Rolle hinzufügen.
    4. Suchen Sie nach Cloud Run Invoker und wählen Sie die Rolle aus.
    5. Klicken Sie auf + Weitere Rolle hinzufügen.
    6. Suchen Sie nach Cloud Functions Invoker und wählen Sie die Rolle aus.
  6. Klicken Sie auf Weiter.
  7. Klicken Sie auf Fertig.

IAM-Berechtigungen für GCS-Bucket erteilen

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets (menlo-security-logs).
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Geben Sie die E‑Mail-Adresse des Dienstkontos (menlo-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com) ein.
    • Rollen zuweisen: Wählen Sie Storage Object Admin aus.
  6. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

  1. Rufen Sie in der GCP Console Pub/Sub > Themen auf.
  2. Klicken Sie auf Thema erstellen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Themen-ID: Geben Sie menlo-logs-trigger ein.
    • Übernehmen Sie die anderen Einstellungen.
  4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von Logs erstellen

  1. Rufen Sie in der GCP Console Cloud Run auf.
  2. Klicken Sie auf Dienst erstellen.
  3. Wählen Sie Funktion aus, um eine Funktion mit einem Inline-Editor zu erstellen.

  4. Geben Sie im Abschnitt Konfigurieren die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Dienstname menlo-logs-collector
    Region Wählen Sie die Region aus, die Ihrem GCS-Bucket entspricht (z. B. us-central1).
    Laufzeit Wählen Sie Python 3.12 oder höher aus.

  5. Im Abschnitt Trigger (optional):

    1. Klicken Sie auf + Trigger hinzufügen.
    2. Wählen Sie Cloud Pub/Sub aus.
    3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen die Option menlo-logs-trigger aus.
    4. Klicken Sie auf Speichern.

  6. Im Abschnitt Authentifizierung:

    1. Wählen Sie Authentifizierung erforderlich aus.
    2. Weitere Informationen finden Sie unter Identity and Access Management (IAM).

  7. Scrollen Sie nach unten und maximieren Sie Container, Netzwerk, Sicherheit.

  8. Rufen Sie den Tab Sicherheit auf:

    • Dienstkonto: Wählen Sie menlo-logs-collector-sa aus.

  9. Rufen Sie den Tab Container auf:

    1. Klicken Sie auf Variablen und Secrets.
    2. Klicken Sie für jede Umgebungsvariable auf + Variable hinzufügen:
    Variablenname Beispielwert Beschreibung
    GCS_BUCKET menlo-security-logs Name des GCS-Buckets
    GCS_PREFIX menlo-logs Präfix für Logdateien
    STATE_KEY menlo-logs/state.json Pfad der Statusdatei
    MENLO_API_TOKEN your-menlo-api-token Menlo Security-API-Token
    MENLO_API_HOST logs.menlosecurity.com Menlo Security API-Host
    MENLO_LOG_TYPES web,audit,email,dlp Kommagetrennte Logtypen
    LOOKBACK_HOURS 1 Anfänglicher Rückschauzeitraum

  10. Scrollen Sie im Bereich Variablen und Secrets nach unten zu Anfragen:

    • Zeitlimit für die Anfrage: Geben Sie 600 Sekunden (10 Minuten) ein.

  11. Gehen Sie zum Tab Einstellungen:

    • Im Abschnitt Ressourcen:
      • Arbeitsspeicher: Wählen Sie 512 MiB oder höher aus.
      • CPU: Wählen Sie 1 aus.

  12. Im Abschnitt Versionsskalierung:

    • Mindestanzahl von Instanzen: Geben Sie 0 ein.
    • Maximale Anzahl von Instanzen: Geben Sie 100 ein.

  13. Klicken Sie auf Erstellen.

  14. Warten Sie, bis der Dienst erstellt wurde (1–2 Minuten).

  15. Nachdem der Dienst erstellt wurde, wird automatisch der Inline-Code-Editor geöffnet.

Funktionscode hinzufügen

  1. Geben Sie main in das Feld Einstiegspunkt ein.

  2. Erstellen Sie im Inline-Code-Editor zwei Dateien:

    • main.py:
    import functions_framework
from google.cloud import storage
import os
import json
import urllib3
import time
import uuid
from datetime import datetime, timezone, timedelta

http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=60.0),
  retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'menlo-logs')
STATE_KEY = os.environ.get('STATE_KEY', 'menlo-logs/state.json')
API_TOKEN = os.environ.get('MENLO_API_TOKEN')
API_HOST = os.environ.get('MENLO_API_HOST', 'logs.menlosecurity.com')
LOG_TYPES = os.environ.get('MENLO_LOG_TYPES', 'web').split(',')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '1'))

@functions_framework.cloud_event
def main(cloud_event):
  if not all([GCS_BUCKET, API_TOKEN, API_HOST]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket)
    now = datetime.now(timezone.utc).replace(microsecond=0)

    if isinstance(state, dict) and state.get('last_event_time'):
      try:
        last_val = state['last_event_time']
        if last_val.endswith('Z'):
          last_val = last_val[:-1] + '+00:00'
        last_time = datetime.fromisoformat(last_val)
        last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")
        last_time = now - timedelta(hours=LOOKBACK_HOURS)
    else:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")

    total = 0
    newest_time = None

    for log_type in LOG_TYPES:
      log_type = log_type.strip()
      print(f"Fetching {log_type} logs...")
      events = fetch_logs(log_type, API_TOKEN, API_HOST, last_time, now)

      if events:
        object_key = f"{GCS_PREFIX}/{now:%Y/%m/%d}/menlo-{log_type}-{uuid.uuid4()}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join(
          [json.dumps(ev, ensure_ascii=False) for ev in events]
        ) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        print(f"Uploaded {len(events)} {log_type} events to gs://{GCS_BUCKET}/{object_key}")
        total += len(events)

        for ev in events:
          ev_time = ev.get('timestamp') or ev.get('time') or ev.get('created_at')
          if ev_time and (newest_time is None or str(ev_time) > str(newest_time)):
            newest_time = str(ev_time)
      else:
        print(f"No {log_type} events found")

    save_state(bucket, newest_time if newest_time else now.isoformat())
    print(f"Successfully processed {total} total events")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def fetch_logs(log_type, token, api_host, start, end):
  url = f"https://{api_host}/api/v1/logs/{log_type}"
  headers = {
    'Authorization': f'Token {token}',
    'Accept': 'application/json',
  }
  params = {
    'start': start.strftime('%Y-%m-%dT%H:%M:%SZ'),
    'end': end.strftime('%Y-%m-%dT%H:%M:%SZ'),
  }
  query = '&'.join(f'{k}={v}' for k, v in params.items())
  full_url = f'{url}?{query}'

  all_events = []
  backoff = 1.0

  while full_url:
    response = http.request('GET', full_url, headers=headers)

    if response.status == 429:
      retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
      print(f"Rate limited. Waiting {retry_after}s...")
      time.sleep(retry_after)
      backoff = min(backoff * 2, 60.0)
      continue

    if response.status != 200:
      print(f"API error {response.status}: {response.data.decode('utf-8')}")
      break

    backoff = 1.0
    data = json.loads(response.data.decode('utf-8'))
    events = data if isinstance(data, list) else data.get('events', data.get('data', []))
    all_events.extend(events)

    full_url = data.get('next') if isinstance(data, dict) else None

  print(f"Total {log_type} events fetched: {len(all_events)}")
  return all_events

def load_state(bucket):
  try:
    blob = bucket.blob(STATE_KEY)
    if blob.exists():
      return json.loads(blob.download_as_text())
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, last_event_time_iso):
  try:
    state = {
      'last_event_time': last_event_time_iso,
      'last_run': datetime.now(timezone.utc).isoformat()
    }
    blob = bucket.blob(STATE_KEY)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")
    • requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. Klicken Sie auf Bereitstellen, um die Funktion zu speichern und bereitzustellen.

  4. Warten Sie, bis die Bereitstellung abgeschlossen ist (2–3 Minuten).

Cloud Scheduler-Job erstellen

  1. Rufen Sie in der GCP Console Cloud Scheduler auf.
  2. Klicken Sie auf Job erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Name menlo-logs-collector-hourly
    Region Dieselbe Region wie die Cloud Run-Funktion auswählen
    Frequenz 0 * * * * (stündlich zur vollen Stunde)
    Zeitzone Zeitzone auswählen (UTC empfohlen)
    Zieltyp Pub/Sub
    Thema menlo-logs-trigger auswählen
    Inhalt der Nachricht {} (leeres JSON-Objekt)

  4. Klicken Sie auf Erstellen.

Integration testen

  1. Suchen Sie in der Cloud Scheduler-Konsole nach Ihrem Job (menlo-logs-collector-hourly).
  2. Klicken Sie auf Ausführung erzwingen, um den Job manuell auszulösen.
  3. Warten Sie einige Sekunden.
  4. Rufen Sie Cloud Run > Dienste auf.
  5. Klicken Sie auf menlo-logs-collector.
  6. Klicken Sie auf den Tab Logs.

  7. Prüfen Sie, ob die Funktion erfolgreich ausgeführt wurde. Darauf sollten Sie achten:

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Fetching web logs...
Total web events fetched: X
Uploaded X web events to gs://menlo-security-logs/menlo-logs/YYYY/MM/DD/menlo-web-UUID.ndjson
Successfully processed X total events

  8. Rufen Sie Cloud Storage > Buckets auf.

  9. Klicken Sie auf menlo-security-logs.

  10. Rufen Sie den Ordner menlo-logs/ auf.

  11. Prüfen Sie, ob neue .ndjson-Dateien mit dem aktuellen Datum erstellt wurden.

Wenn in den Logs Fehler angezeigt werden:

  • HTTP 401: Prüfen Sie, ob die Umgebungsvariable MENLO_API_TOKEN korrekt ist.
  • HTTP 403: Prüfen Sie, ob das API-Token die Berechtigung Log Export API hat.
  • HTTP 429: Ratenbegrenzung – die Funktion wird automatisch mit Backoff wiederholt.
  • Fehlende Umgebungsvariablen: Prüfen Sie, ob alle erforderlichen Variablen in der Konfiguration der Cloud Run-Funktion festgelegt sind.

Google SecOps-Dienstkonto abrufen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Menlo Security MSIP Logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Menlo Security als Logtyp aus.

  7. Klicken Sie auf Dienstkonto abrufen. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Kopieren Sie diese E‑Mail-Adresse für den nächsten Schritt.

  9. Klicken Sie auf Weiter.

  10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:

      gs://menlo-security-logs/menlo-logs/

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:

      • Nie: Löscht nach Übertragungen nie Dateien (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.

      • Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

      • Asset-Namespace: Der Asset-Namespace

      • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

  11. Klicken Sie auf Weiter.

  12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf menlo-security-logs.
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
    • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
customer_name intermediary.hostname Festlegen, ob customer_name nicht IP ist
customer_name intermediary.ip Wird aus „customer_name“ extrahiert, wenn IP, oder aus „xff_ip“-IPs.
xff_ip intermediary.ip
event_data.event_time metadata.event_timestamp Mit Grok- und Datumsfilter geparst
request_type metadata.event_type Bedingte Logik basierend auf diesen Feldern
has_principal metadata.event_type
has_top_url metadata.event_type
has_dest metadata.event_type
log_type metadata.log_type Wert direkt kopiert
event_data.name metadata.product_event_type Wert direkt kopiert
reqId metadata.product_log_id Wert direkt kopiert
event_data.version metadata.product_version Wert direkt kopiert
event_data.protocol network.application_protocol Zuordnung anhand einer vordefinierten Protokollliste
request_type network.http.method Wert direkt kopiert
Referrer network.http.referral_url Wert direkt kopiert
response_code network.http.response_code In Ganzzahl konvertiert
event_data.user-agent network.http.user_agent Wert direkt kopiert
full_session_id network.session_id Wert direkt kopiert
browser_and_version principal.application Wert direkt kopiert
event_data.x-client-ip principal.asset.ip Wert aus „event_data.x-client-ip“, falls nicht leer, andernfalls „src_ip“
src_ip principal.asset.ip
Gruppen principal.group.product_object_id Wert direkt kopiert
event_data.x-client-ip principal.ip Wert aus „event_data.x-client-ip“, falls nicht leer, andernfalls „src_ip“
src_ip principal.ip
Region principal.location.country_or_region Wert aus der Region, falls nicht leer, andernfalls „egress_country“
egress_country principal.location.country_or_region
region_name principal.location.name Wert direkt kopiert
egress_ip principal.nat_ip Wert direkt kopiert
event_data.userid principal.user.email_addresses Zusammengeführt, wenn mit dem regulären Ausdruck für E‑Mail-Adressen übereinstimmt
event_data.userid principal.user.userid Wert direkt kopiert
event_data.domain security_result.about.administrative_domain Wert direkt kopiert
event_data.url security_result.about.url Wert direkt kopiert
event_data.pe_action security_result.action Entspricht ALLOW, BLOCK oder ALLOW_WITH_MODIFICATION
event_data.categories security_result.category_details Zusammengeführt aus „event_data.categories“ (extrahiert oder direkt) und „casb_cat_name“
casb_cat_name security_result.category_details
event_data.risk_score security_result.confidence_details Wert direkt kopiert
content-type security_result.detection_fields Aus verschiedenen Label-Feldern zusammengeführt
Produkt security_result.detection_fields
Bedrohungen security_result.detection_fields
virusDetails security_result.detection_fields
sandboxResult security_result.detection_fields
fullScanResult security_result.detection_fields
tab_id security_result.detection_fields
pe_reason security_result.detection_fields
ua_type security_result.detection_fields
email_isolation_state security_result.detection_fields
document_url security_result.detection_fields
archive_path security_result.detection_fields
casb_app_name security_result.detection_fields
casb_fun_name security_result.detection_fields
casb_org_name security_result.detection_fields
casb_profile_id security_result.detection_fields
casb_profile_name security_result.detection_fields
casb_profile_type security_result.detection_fields
casb_risk_score security_result.detection_fields
connId security_result.detection_fields
origin_country security_result.detection_fields
egress_country security_result.detection_fields
is_casb_ddl security_result.detection_fields
is_iframe security_result.detection_fields
parent_file_id security_result.detection_fields
parent_filename security_result.detection_fields
parent_sha256 security_result.detection_fields
parent_tid security_result.detection_fields
root_file_id security_result.detection_fields
root_filename security_result.detection_fields
root_sha256 security_result.detection_fields
casb_risk_score security_result.risk_score In Gleitkommazahl konvertiert
casb_profile_id security_result.rule_id Wert direkt kopiert
pe_rulename security_result.rule_name Wert direkt kopiert
casb_profile_name security_result.rule_set Wert direkt kopiert
casb_profile_type security_result.rule_type Wert direkt kopiert
event_data.severity security_result.severity_details Wert direkt kopiert
magicName security_result.summary Verkettet als „%{magicName} is %{threats}.“
Bedrohungen security_result.summary
threat_types security_result.threat_name Wert direkt kopiert
origin_ip src.ip Wert direkt kopiert
origin_country src.location.country_or_region Wert direkt kopiert
event_data.dst target.asset.ip Extrahierte Daten aus event_data.dst oder dst mit dem Grok-IP-Muster
dst target.asset.ip
filename target.file.full_path Wert direkt kopiert
mimeType target.file.mime_type Wert direkt kopiert
sha256 target.file.sha256 Wert direkt kopiert
file_size target.file.size In Gleitkommazahl und dann in Ganzzahl ohne Vorzeichen konvertiert
event_data.dst target.ip Extrahierte Daten aus event_data.dst oder dst mit dem Grok-IP-Muster
dst target.ip
top_url target.url Extrahierte Daten mit URI-Grok-Muster
metadata.product_name metadata.product_name Auf „MENLO SECURITY“ festgelegt
metadata.vendor_name metadata.vendor_name Auf „MENLO SECURITY“ festgelegt
region event.idm.read_only_udm.principal.location.country_or_region Aus dem Änderungsprotokoll zugeordnet
region_name event.idm.read_only_udm.principal.location.name Aus dem Änderungsprotokoll zugeordnet
src_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
groups event.idm.read_only_udm.principal.group.product_object_id Aus dem Änderungsprotokoll zugeordnet
content-type event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
product event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
mimeType event.idm.read_only_udm.target.file.mime_type Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten