Mengumpulkan log Metabase

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Metabase ke Google Security Operations menggunakan Google Cloud Storage V2.

Metabase adalah platform analisis dan business intelligence open source yang memungkinkan organisasi membuat kueri database, membuat visualisasi, dan membangun dasbor. Pada paket Pro dan Enterprise, Metabase menyimpan analisis penggunaan dan data audit di database aplikasinya, termasuk log aktivitas, log tampilan, dan data eksekusi kueri. Fungsi Cloud Run mengkueri Metabase API untuk mengambil data ini dan menulisnya ke bucket GCS untuk penyerapan oleh Google SecOps.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Project GCP dengan Cloud Storage, Cloud Run, Pub/Sub, dan Cloud Scheduler API yang diaktifkan
• Izin untuk membuat dan mengelola bucket GCS
• Izin untuk mengelola kebijakan IAM di bucket GCS
• Izin untuk membuat layanan Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
• Paket Metabase Pro atau Enterprise (analisis penggunaan tidak tersedia di edisi Open Source atau Edisi Starter Cloud)
• Akses administrator Metabase untuk membuat kunci API
• Database aplikasi Metabase yang ditambahkan sebagai sumber data dalam Metabase (diperlukan untuk membuat kueri tabel audit melalui API)

Mengonfigurasi akses Metabase API

Agar Google SecOps dapat mengambil data analisis penggunaan, Anda perlu membuat kunci API di Metabase dan menambahkan database aplikasi sebagai sumber data yang dapat dikueri.

Membuat kunci API

1. Login ke instance Metabase Anda sebagai administrator.
2. Klik ikon roda gigi di sudut kanan atas.
3. Pilih Setelan admin.
4. Buka tab Setelan.
5. Klik tab Authentication di menu kiri.
6. Scroll ke API Keys, lalu klik Manage.
7. Klik tombol Buat Kunci API.
8. Berikan detail konfigurasi berikut:
   • Nama kunci: Masukkan nama deskriptif (misalnya, Google SecOps Integration)
   • Group: Pilih grup yang memiliki akses ke koleksi Usage Analytics dan izin kueri untuk database aplikasi
9. Klik Create.

10. Salin dan simpan kunci API dengan aman.

    Catatan: Metabase hanya menampilkan kunci API satu kali. Jika Anda kehilangan kunci tersebut, Anda harus membuat ulang kunci baru.

Menambahkan database aplikasi sebagai sumber data

Untuk mengkueri tabel audit melalui API, Anda harus menambahkan database aplikasi Metabase sebagai sumber data dalam Metabase.

1. Di Metabase, klik ikon roda gigi di sudut kanan atas.
2. Pilih Setelan admin.
3. Buka tab Databases.
4. Klik Add a database.
5. Konfigurasi koneksi database:
   • Database type: Pilih PostgreSQL atau MySQL (bergantung pada database aplikasi Anda)
   • Nama: Masukkan Metabase Application Database
   • Host: Masukkan nama host database aplikasi Anda
   • Port: Masukkan port database (default: 5432 untuk PostgreSQL, 3306 untuk MySQL)
   • Database name: Masukkan nama database aplikasi (misalnya, metabase)
   • Nama pengguna: Masukkan pengguna database dengan izin SELECT pada tabel audit_log, view_log, dan query_execution
   • Sandi: Masukkan sandi database
6. Klik Simpan.
7. Setelah menyimpan, catat ID Database dari URL (misalnya, https://metabase.example.com/admin/databases/5 berarti ID database-nya adalah 5).

Memverifikasi izin

Untuk memverifikasi bahwa kunci API memiliki izin yang diperlukan:

1. Login ke Metabase sebagai administrator.
2. Klik ikon roda gigi > Admin settings > People.
3. Temukan grup yang ditetapkan ke kunci API.
4. Pastikan grup memiliki akses ke koleksi Usage Analytics.
5. Buka Setelan admin > Izin > Data.
6. Pastikan grup memiliki akses Tidak dibatasi atau Kueri ke database aplikasi.

Menguji akses API

• Uji kredensial Anda sebelum melanjutkan integrasi:

  # Replace with your actual values
  METABASE_URL="https://your-metabase-instance.com"
  API_KEY="mb_your_api_key_here"
  DATABASE_ID="5"
  
  # Test API key authentication
  curl -s -H "x-api-key: ${API_KEY}" \
    "${METABASE_URL}/api/database" \
    | python3 -m json.tool
  
  # Test querying the application database for audit_log records
  curl -s -X POST "${METABASE_URL}/api/dataset/json" \
    -H "x-api-key: ${API_KEY}" \
    -H "Content-Type: application/json" \
    -d "{\"database\": ${DATABASE_ID}, \"type\": \"native\", \"native\": {\"query\": \"SELECT * FROM audit_log ORDER BY id DESC LIMIT 5\", \"template-tags\": {}}, \"parameters\": []}" \
    | python3 -m json.tool
  

Respons yang berhasil akan menampilkan array JSON dari data log audit terbaru.

Membuat bucket Google Cloud Storage

1. Buka Konsol Google Cloud.
2. Pilih project Anda atau buat project baru.
3. Di menu navigasi, buka Cloud Storage > Buckets.
4. Klik Create bucket.

5. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Memberi nama bucket Anda	Masukkan nama yang unik secara global (misalnya, metabase-audit-logs)
   Location type	Pilih sesuai kebutuhan Anda (Region, Dual-region, Multi-region)
   Location	Pilih lokasi (misalnya, us-central1)
   Storage class	Standard (direkomendasikan untuk log yang sering diakses)
   Kontrol akses	Seragam (direkomendasikan)
   Alat perlindungan	Opsional: Mengaktifkan pembuatan versi objek atau kebijakan retensi

6. Klik Create.

Membuat akun layanan untuk fungsi Cloud Run

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis ke bucket GCS dan dipanggil oleh Pub/Sub.

Membuat akun layanan

1. Di Konsol GCP, buka IAM & Admin > Service Accounts.
2. Klik Create Service Account.
3. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan metabase-audit-collector-sa
   • Service account description: Masukkan Service account for Cloud Run function to collect Metabase audit logs
4. Klik Create and Continue.
5. Di bagian Grant this service account access to project, tambahkan peran berikut:
   1. Klik Pilih peran.
   2. Telusuri dan pilih Storage Object Admin.
   3. Klik + Add another role.
   4. Telusuri dan pilih Cloud Run Invoker.
   5. Klik + Add another role.
   6. Telusuri dan pilih Cloud Functions Invoker.
6. Klik Lanjutkan.
7. Klik Done.

Peran ini diperlukan untuk:

• Storage Object Admin: Menulis log ke bucket GCS dan mengelola state file
• Cloud Run Invoker: Mengizinkan Pub/Sub memanggil fungsi
• Cloud Functions Invoker: Mengizinkan pemanggilan fungsi

Memberikan izin IAM di bucket GCS

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda (metabase-audit-logs).
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Masukkan email akun layanan (metabase-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
   • Assign roles: Pilih Storage Object Admin
6. Klik Simpan.

Membuat topik Pub/Sub

1. Di Konsol GCP, buka Pub/Sub > Topics.
2. Klik Create topic.
3. Berikan detail konfigurasi berikut:
   • ID Topik: Masukkan metabase-audit-trigger
   • Biarkan setelan lainnya sesuai default
4. Klik Create.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run akan dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil data audit dari Metabase API dan menulisnya ke GCS.

1. Di Konsol GCP, buka Cloud Run.
2. Klik Create service.
3. Pilih Function (gunakan editor inline untuk membuat fungsi).

4. Di bagian Configure, berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama layanan	metabase-audit-collector
   Region	Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
   Runtime	Pilih Python 3.12 atau yang lebih baru

5. Di bagian Trigger (optional):

   1. Klik + Tambahkan pemicu.
   2. Pilih Cloud Pub/Sub.
   3. Di Select a Cloud Pub/Sub topic, pilih metabase-audit-trigger.
   4. Klik Simpan.

6. Di bagian Authentication:

   1. Pilih Wajibkan autentikasi.
   2. Periksa Identity and Access Management (IAM).
   Catatan: Pub/Sub akan otomatis menangani autentikasi saat memanggil fungsi.

7. Scroll ke bawah dan luaskan Containers, Networking, Security.

8. Buka tab Keamanan:

   • Service account: Pilih metabase-audit-collector-sa

9. Buka tab Penampung:

   1. Klik Variables & Secrets.
   2. Klik + Add variable untuk setiap variabel lingkungan:

   Nama Variabel	Nilai Contoh	Deskripsi
   GCS_BUCKET	metabase-audit-logs	Nama bucket GCS
   GCS_PREFIX	metabase-audit	Awalan untuk file log
   STATE_KEY	metabase-audit/state.json	Jalur file status
   METABASE_URL	https://metabase.yourcompany.com	URL dasar instance Metabase
   METABASE_API_KEY	mb_your_api_key_here	Kunci API Metabase
   DATABASE_ID	5	ID database aplikasi
   LOOKBACK_HOURS	24	Periode lihat balik awal
   PAGE_SIZE	2000	Data per kueri API

10. Di bagian Variables & Secrets, scroll ke bawah ke Requests:

    • Request timeout: Masukkan 600 detik (10 menit)

11. Buka tab Setelan:

    • Di bagian Resources:
      • Memory: Pilih 512 MiB atau lebih tinggi
      • CPU: Pilih 1

12. Di bagian Revision scaling:

    • Minimum number of instances: Masukkan 0
    • Maximum number of instances: Masukkan 100

13. Klik Create.

14. Tunggu hingga layanan dibuat (1-2 menit).

15. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

1. Masukkan main di kolom Entry point.

2. Di editor kode inline, buat dua file:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     
     http = urllib3.PoolManager(
       timeout=urllib3.Timeout(connect=10.0, read=60.0),
       retries=False,
     )
     
     storage_client = storage.Client()
     
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'metabase-audit')
     STATE_KEY = os.environ.get('STATE_KEY', 'metabase-audit/state.json')
     METABASE_URL = os.environ.get('METABASE_URL', '').rstrip('/')
     API_KEY = os.environ.get('METABASE_API_KEY')
     DATABASE_ID = int(os.environ.get('DATABASE_ID', '1'))
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '2000'))
     
     TABLES = ['audit_log', 'view_log', 'query_execution']
     
     TABLE_TIME_COLUMNS = {
       'audit_log': 'timestamp',
       'view_log': 'timestamp',
       'query_execution': 'started_at',
     }
     
     @functions_framework.cloud_event
     def main(cloud_event):
       if not all([GCS_BUCKET, METABASE_URL, API_KEY]):
         print('Error: Missing required environment variables')
         return
     
       try:
         bucket = storage_client.bucket(GCS_BUCKET)
         state = load_state(bucket)
         now = datetime.now(timezone.utc)
     
         if isinstance(state, dict) and state.get('last_event_time'):
           try:
             last_val = state['last_event_time']
             if last_val.endswith('Z'):
               last_val = last_val[:-1] + '+00:00'
             last_time = datetime.fromisoformat(last_val)
             last_time = last_time - timedelta(minutes=2)
           except Exception as e:
             print(f"Warning: Could not parse last_event_time: {e}")
             last_time = now - timedelta(hours=LOOKBACK_HOURS)
         else:
           last_time = now - timedelta(hours=LOOKBACK_HOURS)
     
         print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")
     
         all_records = []
         newest_time = None
     
         for table in TABLES:
           time_col = TABLE_TIME_COLUMNS[table]
           records = fetch_table(table, time_col, last_time, now)
           for r in records:
             r['_metabase_table'] = table
             t = r.get(time_col)
             if t and (newest_time is None or str(t) > str(newest_time)):
               newest_time = t
           all_records.extend(records)
           print(f"Table {table}: fetched {len(records)} records")
     
         if not all_records:
           print("No new records found.")
           save_state(bucket, now.isoformat())
           return
     
         timestamp = now.strftime('%Y%m%d_%H%M%S')
         object_key = f"{GCS_PREFIX}/metabase_audit_{timestamp}.ndjson"
         blob = bucket.blob(object_key)
     
         ndjson = '\n'.join(
           [json.dumps(r, ensure_ascii=False, default=str) for r in all_records]
         ) + '\n'
         blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
         print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
     
         save_state(bucket, str(newest_time) if newest_time else now.isoformat())
     
         print(f"Successfully processed {len(all_records)} records")
     
       except Exception as e:
         print(f'Error processing logs: {str(e)}')
         raise
     
     def fetch_table(table, time_col, start_time, end_time):
       start_str = start_time.strftime('%Y-%m-%d %H:%M:%S')
       end_str = end_time.strftime('%Y-%m-%d %H:%M:%S')
     
       all_records = []
       offset = 0
       max_pages = 50
     
       for page in range(max_pages):
         sql = (
           f"SELECT * FROM {table} "
           f"WHERE {time_col} >= '{start_str}' "
           f"AND {time_col} < '{end_str}' "
           f"ORDER BY {time_col} ASC "
           f"LIMIT {PAGE_SIZE} OFFSET {offset}"
         )
     
         query_body = {
           "database": DATABASE_ID,
           "type": "native",
           "native": {
             "query": sql,
             "template-tags": {}
           },
           "parameters": []
         }
     
         url = f"{METABASE_URL}/api/dataset/json"
         response = http.request(
           'POST', url,
           body=json.dumps(query_body).encode('utf-8'),
           headers={
             'x-api-key': API_KEY,
             'Content-Type': 'application/json'
           }
         )
     
         if response.status == 429:
           print(f"Rate limited on {table} query. Stopping pagination.")
           break
     
         if response.status != 200:
           print(f"{table} query failed: {response.status} - "
               f"{response.data.decode('utf-8')}")
           break
     
         page_results = json.loads(response.data.decode('utf-8'))
     
         if not page_results:
           break
     
         all_records.extend(page_results)
         print(f"{table} page {page + 1}: {len(page_results)} records "
             f"(total: {len(all_records)})")
     
         if len(page_results) < PAGE_SIZE:
           break
     
         offset += PAGE_SIZE
     
       return all_records
     
     def load_state(bucket):
       try:
         blob = bucket.blob(STATE_KEY)
         if blob.exists():
           return json.loads(blob.download_as_text())
       except Exception as e:
         print(f"Warning: Could not load state: {e}")
       return {}
     
     def save_state(bucket, last_event_time_iso):
       try:
         state = {
           'last_event_time': last_event_time_iso,
           'last_run': datetime.now(timezone.utc).isoformat()
         }
         blob = bucket.blob(STATE_KEY)
         blob.upload_from_string(
           json.dumps(state, indent=2),
           content_type='application/json'
         )
         print(f"Saved state: last_event_time={last_event_time_iso}")
       except Exception as e:
         print(f"Warning: Could not save state: {e}")
     

   • requirements.txt:

   functions-framework==3.*
   google-cloud-storage==2.*
   urllib3>=2.0.0
   

3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

4. Tunggu hingga deployment selesai (2-3 menit).

   Catatan: Konfigurasi pemicu Pub/Sub otomatis membuat langganan dan izin yang diperlukan.

Buat tugas Cloud Scheduler

1. Di Konsol GCP, buka Cloud Scheduler.
2. Klik Create Job.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama	metabase-audit-collector-hourly
   Region	Pilih region yang sama dengan fungsi Cloud Run
   Frekuensi	0 * * * * (setiap jam, tepat pada jamnya)
   Zona Waktu	Pilih zona waktu (UTC direkomendasikan)
   Jenis target	Pub/Sub
   Topik	Pilih metabase-audit-trigger
   Isi pesan	{} (objek JSON kosong)

4. Klik Create.

Opsi frekuensi jadwal

Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

Frekuensi	Ekspresi Cron	Kasus Penggunaan
Setiap 5 menit	*/5 * * * *	Volume tinggi, latensi rendah
Setiap 15 menit	*/15 * * * *	Volume sedang
Setiap jam	0 * * * *	Standar (direkomendasikan)
Setiap 6 jam	0 */6 * * *	Volume rendah, pemrosesan batch
Harian	0 0 * * *	Pengumpulan data historis

Menguji integrasi

1. Di konsol Cloud Scheduler, temukan tugas Anda (metabase-audit-collector-hourly).
2. Klik Force run untuk memicu tugas secara manual.
3. Tunggu beberapa detik.
4. Buka Cloud Run > Services.
5. Klik metabase-audit-collector.
6. Klik tab Logs.

7. Pastikan fungsi berhasil dieksekusi. Cari:

   Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
   Table audit_log: fetched X records
   Table view_log: fetched X records
   Table query_execution: fetched X records
   Wrote X records to gs://metabase-audit-logs/metabase-audit/metabase_audit_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. Buka Cloud Storage > Buckets.

9. Klik metabase-audit-logs.

10. Buka folder metabase-audit/.

11. Pastikan file .ndjson baru telah dibuat dengan stempel waktu saat ini.

Jika Anda melihat error di log:

• HTTP 401: Pastikan variabel lingkungan METABASE_API_KEY sudah benar dan kunci belum dihapus atau dibuat ulang
• HTTP 403: Pastikan grup kunci API memiliki izin kueri untuk database aplikasi
• HTTP 429: Pembatasan kapasitas -- fungsi akan menghentikan penomoran halaman dan melanjutkan pada operasi terjadwal berikutnya
• Variabel lingkungan tidak ada: Pastikan semua variabel yang diperlukan telah ditetapkan dalam konfigurasi fungsi Cloud Run
• Hasil kosong: Pastikan DATABASE_ID sudah benar, database aplikasi ditambahkan sebagai sumber data, dan Anda menggunakan Metabase Pro atau Enterprise

Mengambil akun layanan Google SecOps

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Metabase Audit Logs).
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih METABASE sebagai Log type.

7. Klik Get Service Account. Email akun layanan yang unik akan ditampilkan, misalnya:

   [e-mail]
   

8. Salin alamat email ini untuk digunakan di langkah berikutnya.

   Catatan: Setiap instance Google SecOps memiliki akun layanan yang unik. Jangan gunakan akun layanan dari dokumentasi atau contoh lain.

9. Klik Berikutnya.

10. Tentukan nilai untuk parameter input berikut:

    • Storage bucket URL: Masukkan URI bucket GCS dengan jalur awalan:

      gs://metabase-audit-logs/metabase-audit/
      

      Catatan: Selalu sertakan garis miring (/) di akhir URI.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Never: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Delete transferred files: Menghapus file setelah transfer berhasil.

      • Delete transferred files and empty directories: Menghapus file dan direktori kosong setelah transfer berhasil.

        Catatan: Jika Anda memilih opsi penghapusan, akun layanan harus memiliki peran Storage Object Admin, bukan Storage Object Viewer. Perbarui izin IAM sebagaimana mestinya.

    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)

    • Namespace aset: Namespace aset

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

11. Klik Berikutnya.

12. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Memberikan izin IAM ke akun layanan Google SecOps

Akun layanan Google SecOps memerlukan peran Storage Object Viewer di bucket GCS Anda.

1. Buka Cloud Storage > Buckets.
2. Klik metabase-audit-logs.
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Tempel email akun layanan Google SecOps
   • Assign roles: Pilih Storage Object Viewer

6. Klik Simpan.

   Catatan: Jika Anda berencana menggunakan opsi penghapusan "Hapus file yang ditransfer" atau "Hapus file yang ditransfer dan direktori kosong", berikan peran Storage Object Admin, bukan Storage Object Viewer.

Tabel analisis penggunaan

Fungsi Cloud Run mengkueri tabel berikut dari database aplikasi Metabase:

Nama Tabel	Deskripsi
audit_log	Catatan perubahan konfigurasi, tindakan pengguna, dan peristiwa sistem
view_log	Melacak tampilan kartu (pertanyaan/model), dasbor, dan tabel
query_execution	Informasi tentang semua kueri yang dijalankan di semua dasbor

Catatan: Tabel ini hanya diisi di paket Metabase Pro dan Enterprise. Edisi Open Source dan Edisi Starter Cloud tidak menulis data log aktivitas dan tampilan.

Retensi data

Secara default, Metabase menyimpan data analisis penggunaan selama 720 hari (sekitar 2 tahun). Dua kali sehari, Metabase otomatis menghapus baris yang lebih lama dari batas ini. Untuk mengubah periode retensi, tetapkan variabel lingkungan MB_AUDIT_MAX_RETENTION_DAYS saat menjalankan Metabase.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
tambahan	tambahan	Diganti namanya dari tambahan
locale	additional.fields	Digabungkan dengan label masing-masing (misalnya, locale_label untuk lokalitas, is_active_label untuk is_active, dll.)
is_active	additional.fields
is_qbnewb	additional.fields
group_ids	additional.fields
is_superuser	additional.fields
login_attributes	additional.fields
id	additional.fields
sso_source	additional.fields
personal_collection_id	additional.fields
metadata	metadata	Diganti namanya dari metadata
updated_at	metadata.event_timestamp	Tanggal yang diuraikan dari updated_at menggunakan ISO8601, RFC 3339, atau yyyy-MM-ddTHH:mm:ss.SSSSSSZ
has_userid	metadata.event_type	Ditetapkan ke "USER_UNCATEGORIZED" jika has_userid == "true", jika tidak, ditetapkan ke "GENERIC_EVENT"
utama	utama	Diganti namanya dari akun utama
metabase_host	principal.url	Nilai disalin langsung
date_joined	principal.user.attribute.creation_time	Tanggal yang diuraikan dari date_joined menggunakan ISO8601, RFC 3339, atau yyyy-MM-ddTHH:mm:ss.SSSSSSZ
email	principal.user.email_addresses	Digabungkan dari email
first_name	principal.user.first_name	Nilai disalin langsung
last_login	principal.user.last_login_time	Tanggal yang diuraikan dari last_login menggunakan ISO8601, RFC 3339, atau yyyy-MM-ddTHH:mm:ss.SSSSSSZ
last_name	principal.user.last_name	Nilai disalin langsung
common_name	principal.user.user_display_name	Nilai disalin langsung
email	principal.user.userid	Nilai disalin langsung dari email
security_result	security_result	Digabungkan dari security_result
target	target	Diganti namanya dari target
metadata.product_name	metadata.product_name	Tetapkan ke "METABASE"
metadata.vendor_name	metadata.vendor_name	Tetapkan ke "METABASE"

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.