Menlo Security Isolation Platform-Logs (MSIP) erfassen

Unterstützt in:

In diesem Leitfaden wird beschrieben, wie Sie Logs der Menlo Security Isolation Platform (MSIP) über Google Cloud Storage in Google SecOps aufnehmen können.

Der isolationsorientierte Ansatz von Menlo Security trennt das Surfen im Web und das Abrufen von Dokumenten zwischen dem Gerät des Nutzers und einem isolierten, Disposable Virtual Container (DVC) außerhalb des Endpunkts. Der gesamte riskante Code wird im isolierten DVC ausgeführt und erreicht den Endpunkt nie. Es werden nur sichere Anzeigedaten an den Browser des Nutzers gesendet. Die Plattform bietet umfassendes Logging für Webzugriffe, Audit-Ereignisse, E‑Mail-Sicherheit, DLP-Verstöße und SMTP-Aktivitäten.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf das Menlo Security Admin Portal
  • Berechtigungen zum Erstellen von API-Tokens in Menlo Security
  • Ein GCP-Projekt mit aktivierten Cloud Storage, Cloud Run, Pub/Sub und Cloud Scheduler APIs

Menlo Security API-Zugriff konfigurieren

Damit die Cloud Run-Funktion Logs abrufen kann, müssen Sie ein API-Token mit der Berechtigung „Log Export API“ erstellen.

API-Token erstellen

  1. Melden Sie sich unter https://admin.menlosecurity.com im Menlo Security Admin Portal an.
  2. Gehen Sie zu Einstellungen > Authentifizierung > API-Tokens.
  3. Klicken Sie auf Token erstellen.
  4. Geben Sie im Feld Tokenname einen aussagekräftigen Namen ein (z. B. Chronicle GCS Integration).
  5. Wählen Sie im Abschnitt Berechtigungen die Option Log Export API aus.
  6. Klicken Sie auf Erstellen oder Speichern.
  7. Kopieren Sie das generierte API-Token und speichern Sie es an einem sicheren Ort.

Wichtig: Das API-Token wird nur einmal angezeigt. Speichern Sie ihn sofort nach der Erstellung an einem sicheren Ort.

Erforderliche API-Berechtigungen

  • Das API-Token erfordert die folgende Berechtigung:

    Berechtigung/Bereich Zugriffsebene Zweck
    Log Export API Lesen Logs aus der Menlo Security API abrufen

Google Cloud Storage-Bucket erstellen

  1. Gehen Sie zur Google Cloud Console.
  2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
  3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
  4. Klicken Sie auf Bucket erstellen.

  5. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Bucket benennen Geben Sie einen global eindeutigen Namen ein (z. B. menlo-security-logs).
    Standorttyp Wählen Sie die Option, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
    Standort Wählen Sie den Standort aus (z. B. us-central1).
    Speicherklasse Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
    Zugriffssteuerung Einheitlich (empfohlen)
    Schutztools Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

  6. Klicken Sie auf Erstellen.

Dienstkonto für die Cloud Run-Funktion erstellen

Dienstkonto erstellen

  1. Rufen Sie in der GCP Console die Seite IAM und Verwaltung > Dienstkonten auf.
  2. Klicken Sie auf Dienstkonto erstellen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie menlo-logs-collector-sa ein.
    • Beschreibung des Dienstkontos: Geben Sie Service account for Cloud Run function to collect Menlo Security logs ein.
  4. Klicken Sie auf Erstellen und fortfahren.
  5. Fügen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen die folgenden Rollen hinzu:
    1. Klicken Sie auf Rolle auswählen.
    2. Suchen Sie nach Storage Object Admin und wählen Sie die Rolle aus.
    3. Klicken Sie auf + Weitere Rolle hinzufügen.
    4. Suchen Sie nach Cloud Run Invoker und wählen Sie die Rolle aus.
    5. Klicken Sie auf + Weitere Rolle hinzufügen.
    6. Suchen Sie nach Cloud Functions-Aufrufer und wählen Sie die Rolle aus.
  6. Klicken Sie auf Weiter.
  7. Klicken Sie auf Fertig.

IAM-Berechtigungen für GCS-Bucket gewähren

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf den Namen Ihres Buckets (menlo-security-logs).
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos (menlo-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com) ein.
    • Rollen zuweisen: Wählen Sie Storage-Objekt-Administrator aus.
  6. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

  1. Wechseln Sie in der GCP Console zu Pub/Sub > Themen.
  2. Klicken Sie auf Thema erstellen.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Themen-ID: Geben Sie menlo-logs-trigger ein.
    • Übernehmen Sie die anderen Einstellungen.
  4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von Logs erstellen

  1. Rufen Sie in der GCP Console Cloud Run auf.
  2. Klicken Sie auf Dienst erstellen.
  3. Wählen Sie Funktion aus (Funktion mit einem Inline-Editor erstellen).

  4. Geben Sie im Abschnitt Konfigurieren die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Dienstname menlo-logs-collector
    Region Wählen Sie die Region aus, die Ihrem GCS-Bucket entspricht (z. B. us-central1).
    Laufzeit Wählen Sie Python 3.12 oder höher aus.

  5. Im Abschnitt Trigger (optional):

    1. Klicken Sie auf + Trigger hinzufügen.
    2. Wählen Sie Cloud Pub/Sub aus.
    3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen die Option menlo-logs-trigger aus.
    4. Klicken Sie auf Speichern.

  6. Im Abschnitt Authentifizierung:

    1. Wählen Sie Authentifizierung erforderlich aus.
    2. Prüfen Sie Identity and Access Management (IAM).

  7. Scrollen Sie nach unten und maximieren Sie Container, Netzwerk, Sicherheit.

  8. Rufen Sie den Tab Sicherheit auf:

    • Dienstkonto: Wählen Sie menlo-logs-collector-sa aus.

  9. Rufen Sie den Tab Container auf:

    1. Klicken Sie auf Variablen und Secrets.
    2. Klicken Sie für jede Umgebungsvariable auf + Variable hinzufügen:
    Variablenname Beispielwert Beschreibung
    GCS_BUCKET menlo-security-logs Name des GCS-Buckets
    GCS_PREFIX menlo-logs Präfix für Logdateien
    STATE_KEY menlo-logs/state.json Pfad der Statusdatei
    MENLO_API_TOKEN your-menlo-api-token Menlo Security API-Token
    MENLO_API_HOST logs.menlosecurity.com Menlo Security API-Host
    MENLO_LOG_TYPES web,audit,email,dlp Kommagetrennte Logtypen
    LOOKBACK_HOURS 1 Anfänglicher Rückschauzeitraum

  10. Scrollen Sie im Bereich Variablen und Secrets nach unten zu Anfragen:

    • Zeitüberschreitung bei Anfrage: Geben Sie 600 Sekunden (10 Minuten) ein.

  11. Rufen Sie den Tab Einstellungen auf:

    • Im Abschnitt Ressourcen:
      • Arbeitsspeicher: Wählen Sie 512 MiB oder höher aus.
      • CPU: Wählen Sie 1 aus.

  12. Im Abschnitt Versionsskalierung:

    • Mindestanzahl von Instanzen: Geben Sie 0 ein.
    • Maximale Anzahl von Instanzen: Geben Sie 100 ein.

  13. Klicken Sie auf Erstellen.

  14. Warten Sie ein bis zwei Minuten, bis der Dienst erstellt wurde.

  15. Nachdem der Dienst erstellt wurde, wird der Inline-Code-Editor automatisch geöffnet.

Funktionscode hinzufügen

  1. Geben Sie main in das Feld Einstiegspunkt ein.

  2. Erstellen Sie im Inline-Code-Editor zwei Dateien:

    • main.py:
    import functions_framework
from google.cloud import storage
import os
import json
import urllib3
import time
import uuid
from datetime import datetime, timezone, timedelta

http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=60.0),
  retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'menlo-logs')
STATE_KEY = os.environ.get('STATE_KEY', 'menlo-logs/state.json')
API_TOKEN = os.environ.get('MENLO_API_TOKEN')
API_HOST = os.environ.get('MENLO_API_HOST', 'logs.menlosecurity.com')
LOG_TYPES = os.environ.get('MENLO_LOG_TYPES', 'web').split(',')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '1'))

@functions_framework.cloud_event
def main(cloud_event):
  if not all([GCS_BUCKET, API_TOKEN, API_HOST]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket)
    now = datetime.now(timezone.utc).replace(microsecond=0)

    if isinstance(state, dict) and state.get('last_event_time'):
      try:
        last_val = state['last_event_time']
        if last_val.endswith('Z'):
          last_val = last_val[:-1] + '+00:00'
        last_time = datetime.fromisoformat(last_val)
        last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")
        last_time = now - timedelta(hours=LOOKBACK_HOURS)
    else:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")

    total = 0
    newest_time = None

    for log_type in LOG_TYPES:
      log_type = log_type.strip()
      print(f"Fetching {log_type} logs...")
      events = fetch_logs(log_type, API_TOKEN, API_HOST, last_time, now)

      if events:
        object_key = f"{GCS_PREFIX}/{now:%Y/%m/%d}/menlo-{log_type}-{uuid.uuid4()}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join(
          [json.dumps(ev, ensure_ascii=False) for ev in events]
        ) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        print(f"Uploaded {len(events)} {log_type} events to gs://{GCS_BUCKET}/{object_key}")
        total += len(events)

        for ev in events:
          ev_time = ev.get('timestamp') or ev.get('time') or ev.get('created_at')
          if ev_time and (newest_time is None or str(ev_time) > str(newest_time)):
            newest_time = str(ev_time)
      else:
        print(f"No {log_type} events found")

    save_state(bucket, newest_time if newest_time else now.isoformat())
    print(f"Successfully processed {total} total events")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def fetch_logs(log_type, token, api_host, start, end):
  url = f"https://{api_host}/api/v1/logs/{log_type}"
  headers = {
    'Authorization': f'Token {token}',
    'Accept': 'application/json',
  }
  params = {
    'start': start.strftime('%Y-%m-%dT%H:%M:%SZ'),
    'end': end.strftime('%Y-%m-%dT%H:%M:%SZ'),
  }
  query = '&'.join(f'{k}={v}' for k, v in params.items())
  full_url = f'{url}?{query}'

  all_events = []
  backoff = 1.0

  while full_url:
    response = http.request('GET', full_url, headers=headers)

    if response.status == 429:
      retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
      print(f"Rate limited. Waiting {retry_after}s...")
      time.sleep(retry_after)
      backoff = min(backoff * 2, 60.0)
      continue

    if response.status != 200:
      print(f"API error {response.status}: {response.data.decode('utf-8')}")
      break

    backoff = 1.0
    data = json.loads(response.data.decode('utf-8'))
    events = data if isinstance(data, list) else data.get('events', data.get('data', []))
    all_events.extend(events)

    full_url = data.get('next') if isinstance(data, dict) else None

  print(f"Total {log_type} events fetched: {len(all_events)}")
  return all_events

def load_state(bucket):
  try:
    blob = bucket.blob(STATE_KEY)
    if blob.exists():
      return json.loads(blob.download_as_text())
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, last_event_time_iso):
  try:
    state = {
      'last_event_time': last_event_time_iso,
      'last_run': datetime.now(timezone.utc).isoformat()
    }
    blob = bucket.blob(STATE_KEY)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")
    • requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. Klicken Sie auf Bereitstellen, um die Funktion zu speichern und bereitzustellen.

  4. Warten Sie, bis die Bereitstellung abgeschlossen ist (2–3 Minuten).

Cloud Scheduler-Job erstellen

  1. Rufen Sie in der GCP Console die Option Cloud Scheduler auf.
  2. Klicken Sie auf Job erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Name menlo-logs-collector-hourly
    Region Wählen Sie dieselbe Region wie für die Cloud Run-Funktion aus.
    Frequenz 0 * * * * (stündlich zur vollen Stunde)
    Zeitzone Zeitzone auswählen (UTC empfohlen)
    Zieltyp Pub/Sub
    Thema menlo-logs-trigger auswählen
    Inhalt der Nachricht {} (leeres JSON-Objekt)

  4. Klicken Sie auf Erstellen.

Integration testen

  1. Suchen Sie in der Cloud Scheduler-Konsole nach Ihrem Job (menlo-logs-collector-hourly).
  2. Klicken Sie auf Ausführung erzwingen, um den Job manuell auszulösen.
  3. Warte einige Sekunden.
  4. Rufen Sie Cloud Run > Dienste auf.
  5. Klicken Sie auf menlo-logs-collector.
  6. Klicken Sie auf den Tab Logs.

  7. Prüfen Sie, ob die Funktion erfolgreich ausgeführt wurde. Achte dabei auf Folgendes:

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Fetching web logs...
Total web events fetched: X
Uploaded X web events to gs://menlo-security-logs/menlo-logs/YYYY/MM/DD/menlo-web-UUID.ndjson
Successfully processed X total events

  8. Rufen Sie Cloud Storage > Buckets auf.

  9. Klicken Sie auf menlo-security-logs.

  10. Rufen Sie den Ordner menlo-logs/ auf.

  11. Prüfen Sie, ob neue .ndjson-Dateien mit dem aktuellen Datum erstellt wurden.

Wenn Sie Fehler in den Logs sehen:

  • HTTP 401: Prüfen Sie, ob die Umgebungsvariable MENLO_API_TOKEN korrekt ist.
  • HTTP 403: Prüfen Sie, ob das API-Token die Berechtigung Log Export API hat.
  • HTTP 429: Ratenbegrenzung – die Funktion wird automatisch mit Backoff wiederholt.
  • Fehlende Umgebungsvariablen: Prüfen Sie, ob alle erforderlichen Variablen in der Konfiguration der Cloud Run-Funktion festgelegt sind.

Google SecOps-Dienstkonto abrufen

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Menlo Security MSIP Logs.
  5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
  6. Wählen Sie Menlo Security als Logtyp aus.

  7. Klicken Sie auf Dienstkonto abrufen. Eine eindeutige E-Mail-Adresse für das Dienstkonto wird angezeigt, z. B.:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Kopieren Sie diese E-Mail-Adresse, um sie im nächsten Schritt zu verwenden.

  9. Klicken Sie auf Weiter.

  10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:

      gs://menlo-security-logs/menlo-logs/

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

      • Nie: Nach Übertragungen werden keine Dateien gelöscht (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.

      • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)

      • Asset-Namespace: Der Asset-Namespace

      • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  11. Klicken Sie auf Weiter.

  12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

  1. Rufen Sie Cloud Storage > Buckets auf.
  2. Klicken Sie auf menlo-security-logs.
  3. Wechseln Sie zum Tab Berechtigungen.
  4. Klicken Sie auf Zugriff erlauben.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Hauptkonten hinzufügen: Fügen Sie die E‑Mail-Adresse des Google SecOps-Dienstkontos ein.
    • Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
customer_name intermediary.hostname Festlegen, wenn customer_name nicht IP ist
customer_name intermediary.ip Aus customer_name extrahiert, wenn IP, oder aus xff_ip-IPs
xff_ip intermediary.ip
event_data.event_time metadata.event_timestamp Mit Grok- und Datumsfilter geparst
request_type metadata.event_type Bedingte Logik basierend auf diesen Feldern
has_principal metadata.event_type
has_top_url metadata.event_type
has_dest metadata.event_type
log_type metadata.log_type Wert direkt kopiert
event_data.name metadata.product_event_type Wert direkt kopiert
reqId metadata.product_log_id Wert direkt kopiert
event_data.version metadata.product_version Wert direkt kopiert
event_data.protocol network.application_protocol Zuordnung über vordefinierte Protokollliste
request_type network.http.method Wert direkt kopiert
Referrer network.http.referral_url Wert direkt kopiert
response_code network.http.response_code In Ganzzahl umgewandelt
event_data.user-agent network.http.user_agent Wert direkt kopiert
full_session_id network.session_id Wert direkt kopiert
browser_and_version principal.application Wert direkt kopiert
event_data.x-client-ip principal.asset.ip Wert aus event_data.x-client-ip, falls nicht leer, andernfalls src_ip
src_ip principal.asset.ip
Gruppen principal.group.product_object_id Wert direkt kopiert
event_data.x-client-ip principal.ip Wert aus event_data.x-client-ip, falls nicht leer, andernfalls src_ip
src_ip principal.ip
Region principal.location.country_or_region Wert aus „region“, falls nicht leer, andernfalls „egress_country“
egress_country principal.location.country_or_region
region_name principal.location.name Wert direkt kopiert
egress_ip principal.nat_ip Wert direkt kopiert
event_data.userid principal.user.email_addresses Zusammengeführt, wenn mit regulärem Ausdruck für E‑Mail-Adressen übereinstimmend
event_data.userid principal.user.userid Wert direkt kopiert
event_data.domain security_result.about.administrative_domain Wert direkt kopiert
event_data.url security_result.about.url Wert direkt kopiert
event_data.pe_action security_result.action Zugeordnet zu ALLOW, BLOCK oder ALLOW_WITH_MODIFICATION
event_data.categories security_result.category_details Zusammengeführt aus event_data.categories (extrahiert oder direkt) und casb_cat_name
casb_cat_name security_result.category_details
event_data.risk_score security_result.confidence_details Wert direkt kopiert
content-type security_result.detection_fields Aus verschiedenen Labelfeldern zusammengeführt
Produkt security_result.detection_fields
Bedrohungen security_result.detection_fields
virusDetails security_result.detection_fields
sandboxResult security_result.detection_fields
fullScanResult security_result.detection_fields
tab_id security_result.detection_fields
pe_reason security_result.detection_fields
ua_type security_result.detection_fields
email_isolation_state security_result.detection_fields
document_url security_result.detection_fields
archive_path security_result.detection_fields
casb_app_name security_result.detection_fields
casb_fun_name security_result.detection_fields
casb_org_name security_result.detection_fields
casb_profile_id security_result.detection_fields
casb_profile_name security_result.detection_fields
casb_profile_type security_result.detection_fields
casb_risk_score security_result.detection_fields
connId security_result.detection_fields
origin_country security_result.detection_fields
egress_country security_result.detection_fields
is_casb_ddl security_result.detection_fields
is_iframe security_result.detection_fields
parent_file_id security_result.detection_fields
parent_filename security_result.detection_fields
parent_sha256 security_result.detection_fields
parent_tid security_result.detection_fields
root_file_id security_result.detection_fields
root_filename security_result.detection_fields
root_sha256 security_result.detection_fields
casb_risk_score security_result.risk_score In Gleitkommazahl umgewandelt
casb_profile_id security_result.rule_id Wert direkt kopiert
pe_rulename security_result.rule_name Wert direkt kopiert
casb_profile_name security_result.rule_set Wert direkt kopiert
casb_profile_type security_result.rule_type Wert direkt kopiert
event_data.severity security_result.severity_details Wert direkt kopiert
magicName security_result.summary Verkettet als „%{magicName} ist %{threats}.“
Bedrohungen security_result.summary
threat_types security_result.threat_name Wert direkt kopiert
origin_ip src.ip Wert direkt kopiert
origin_country src.location.country_or_region Wert direkt kopiert
event_data.dst target.asset.ip Aus event_data.dst oder dst mit dem Grok-IP-Muster extrahiert
dst target.asset.ip
filename target.file.full_path Wert direkt kopiert
mimeType target.file.mime_type Wert direkt kopiert
sha256 target.file.sha256 Wert direkt kopiert
file_size target.file.size In Gleitkommazahl und dann in Ganzzahl ohne Vorzeichen umgewandelt
event_data.dst target.ip Aus event_data.dst oder dst mit dem Grok-IP-Muster extrahiert
dst target.ip
top_url target.url Mit URI-Grok-Muster extrahiert
metadata.product_name metadata.product_name Legen Sie diesen Wert auf „MENLO SECURITY“ fest.
metadata.vendor_name metadata.vendor_name Legen Sie diesen Wert auf „MENLO SECURITY“ fest.
region event.idm.read_only_udm.principal.location.country_or_region Aus Änderungsprotokoll zugeordnet
region_name event.idm.read_only_udm.principal.location.name Aus Änderungsprotokoll zugeordnet
src_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
groups event.idm.read_only_udm.principal.group.product_object_id Aus Änderungsprotokoll zugeordnet
content-type event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
product event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
mimeType event.idm.read_only_udm.target.file.mime_type Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten