Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Microsoft SQL Server-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Microsoft SQL Server-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser verarbeitet sowohl strukturierte (JSON, Schlüssel/Wert-Paare) als auch semistrukturierte (Syslog) Microsoft SQL Server-Logs. Felder werden extrahiert, Zeitstempel normalisiert, verschiedene Logformate basierend auf SourceModuleType- und Message-Inhalten (einschließlich Audit-, Anmelde- und Datenbankereignissen) verarbeitet und der UDM zugeordnet. Außerdem wird eine spezifische Parsing-Logik für Audit-Einträge, Anmeldeversuche und Datenbankvorgänge ausgeführt, um die Daten mit zusätzlichem Kontext und Informationen zum Schweregrad anzureichern.SQL Server-Audit- und Fehlerlogs werden mithilfe eines Syslog-Weiterleitungstools (NXLog) aus dem Windows-Ereignisprotokoll erfasst und an den BindPlane-Agenten gesendet, der sie an Google SecOps weiterleitet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Ein Host mit Windows Server 2016 oder höher, auf dem Microsoft SQL Server ausgeführt wird
Administratorzugriff zum Installieren und Konfigurieren von BindPlane Agent und NXLog
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Greifen Sie auf die Konfigurationsdatei zu:
- Suchen Sie die Datei config.yaml. Unter Windows befindet sie sich normalerweise im Verzeichnis `C:\Programme\observIQ\bindplane-agent`.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

  receivers:
    udplog:
      # Replace the port and IP address as required
      listen_address: "0.0.0.0:1514"

  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <YOUR_CUSTOMER_ID>
      endpoint: chronicle.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MICROSOFT_SQL'
      raw_log_field: body
      ingestion_labels:

  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - udplog
        exporters:
          - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, unter dem die Schlüsseldatei des Dienstkontos (Option 1) im Abschnitt Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen gespeichert wurde.

Legacy-Ingestion-API-Exporter

Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <YOUR_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MICROSOFT_SQL'
    raw_log_field: body
    ingestion_labels:

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

Wenn Sie den Bindplane-Agenten unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

SQL Server-Prüfung im Windows-Ereignisprotokoll aktivieren

Sie können SQL Server Audit entweder über die GUI von SQL Server Management Studio (SSMS) oder über T-SQL-Befehle aktivieren. Wählen Sie die Option aus, die am besten zu Ihrer Umgebung passt.

Option 1: SQL Server-Prüfung über die SSMS-GUI aktivieren

Serverprüfung in der SQL Server Management Studio-Benutzeroberfläche erstellen

Öffnen Sie SQL Server Management Studio (SSMS) und stellen Sie eine Verbindung zu Ihrer SQL Server-Instanz her.
Maximieren Sie im Object Explorer Ihre Serverinstanz.
Maximieren Sie den Ordner Sicherheit.
Klicken Sie mit der rechten Maustaste auf Audits und wählen Sie Neues Audit aus.
Geben Sie im Dialogfeld Prüfung erstellen die folgenden Konfigurationsdetails an:
- Name des Audits: Geben Sie ChronicleAudit ein.
- Warteschlangenverzögerung (in Millisekunden): Geben Sie 1000 ein.
- Bei Audit-Log-Fehler: Wählen Sie Weiter aus.
- Auditziel: Wählen Sie Anwendungslog aus.
Klicken Sie auf OK, um die Prüfung zu erstellen.
Klicken Sie im Object Explorer mit der rechten Maustaste auf die neu erstellte ChronicleAudit und wählen Sie Enable Audit aus.

Server-Audit-Spezifikation über die SSMS-GUI erstellen

Maximieren Sie im Object Explorer die Option Security (Sicherheit).
Rechtsklicken Sie auf Server Audit Specifications und wählen Sie New Server Audit Specification aus.
Geben Sie im Dialogfeld Server-Prüfspecifikation erstellen die folgenden Konfigurationsdetails an:
- Name: Geben Sie ChronicleAuditSpec ein.
- Audit: Wählen Sie im Menü ChronicleAudit aus.
Klicken Sie im Bereich Audit-Aktionstyp auf Hinzufügen und wählen Sie die folgenden Audit-Aktionsgruppen aus. Fügen Sie jede Gruppe einzeln hinzu, indem Sie nach der Auswahl auf Hinzufügen klicken:
- FAILED_LOGIN_GROUP
- SUCCESSFUL_LOGIN_GROUP
- LOGOUT_GROUP
- SERVER_ROLE_MEMBER_CHANGE_GROUP
- DATABASE_OBJECT_CHANGE_GROUP
- DATABASE_PRINCIPAL_CHANGE_GROUP
- SCHEMA_OBJECT_CHANGE_GROUP
- DATABASE_PERMISSION_CHANGE_GROUP
Klicken Sie auf OK, um die Auditspezifikation zu erstellen.
Klicken Sie im Objekt-Explorer mit der rechten Maustaste auf die neu erstellte ChronicleAuditSpec und wählen Sie Serverüberwachungsspezifikation aktivieren aus.

Audit-Konfiguration prüfen

Maximieren Sie im Objekt-Explorer die Option Sicherheit > Audits.
Klicken Sie mit der rechten Maustaste auf ChronicleAudit und wählen Sie Eigenschaften aus.
Prüfen Sie, ob der Status als Gestartet oder Aktiviert angezeigt wird.
Maximieren Sie Sicherheit > Serverüberwachungsspezifikationen.
Klicken Sie mit der rechten Maustaste auf ChronicleAuditSpec und wählen Sie Eigenschaften aus.
Prüfen Sie, ob alle acht Audit-Aktionsgruppen aufgeführt sind und die Spezifikation aktiviert ist.

Option 2: SQL Server-Audit mit T-SQL aktivieren

Öffnen Sie SQL Server Management Studio (SSMS) und stellen Sie eine Verbindung zu Ihrer SQL Server-Instanz her.

Führen Sie die folgenden T-SQL-Befehle aus, um ein Serveraudit zu erstellen, das in das Windows-Anwendungsprotokoll schreibt:

USE master;
GO

CREATE SERVER AUDIT ChronicleAudit
TO APPLICATION_LOG
WITH (QUEUE_DELAY = 1000, ON_FAILURE = CONTINUE);
GO

ALTER SERVER AUDIT ChronicleAudit WITH (STATE = ON);
GO

Erstellen Sie eine Auditspezifikation, um relevante Sicherheitsereignisse zu erfassen:

CREATE SERVER AUDIT SPECIFICATION ChronicleAuditSpec
FOR SERVER AUDIT ChronicleAudit
ADD (FAILED_LOGIN_GROUP),
ADD (SUCCESSFUL_LOGIN_GROUP),
ADD (LOGOUT_GROUP),
ADD (SERVER_ROLE_MEMBER_CHANGE_GROUP),
ADD (DATABASE_OBJECT_CHANGE_GROUP),
ADD (DATABASE_PRINCIPAL_CHANGE_GROUP),
ADD (SCHEMA_OBJECT_CHANGE_GROUP),
ADD (DATABASE_PERMISSION_CHANGE_GROUP);
GO

ALTER SERVER AUDIT SPECIFICATION ChronicleAuditSpec WITH (STATE = ON);
GO

Durch diese Konfiguration wird sichergestellt, dass Authentifizierungsereignisse, Berechtigungsänderungen und Objektänderungen im Windows-Ereignisprotokoll protokolliert werden.

NXLog installieren und konfigurieren, um Ereignisse an Bindplane weiterzuleiten

Laden Sie die NXLog Community Edition von nxlog.co/downloads herunter.
Führen Sie das Installationsprogramm aus und schließen Sie den Installationsassistenten ab.
Öffnen Sie die NXLog-Konfigurationsdatei unter:
```
C:\Program Files\nxlog\conf\nxlog.conf
```

Ersetzen Sie den Inhalt durch die folgende Konfiguration:

define ROOT C:\Program Files\nxlog
Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log

<Extension _json>
   Module      xm_json
</Extension>

<Input in_eventlog>
   Module      im_msvistalog
   Query       <QueryList>\
                  <Query Id="0">\
                        <Select Path="Application">*[System[Provider[@Name='MSSQLSERVER']]]</Select>\
                  </Query>\
               </QueryList>
</Input>

<Output out_syslog>
   Module      om_udp
   Host        127.0.0.1
   Port        1514
   Exec        to_json();
</Output>

<Route r1>
   Path        in_eventlog => out_syslog
</Route>

Ersetzen Sie den aktuellen Wert 127.0.0.1 für Host durch die IP-Adresse des Bindplane-Agents.
Der Wert für Port muss mit dem zuvor konfigurierten Bindplane-Empfängerport udplog übereinstimmen.

Speichern Sie die Datei und starten Sie den NXLog-Dienst neu:
```
net stop nxlog && net start nxlog
```

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`AccountName`	`principal.user.userid`	Wird für `principal.user.userid` verwendet, wenn in Logs wie „Datenbank wird gestartet“ oder „Log wurde gesichert“ vorhanden.
`AgentDevice`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „AgentDevice“ hinzugefügt.
`AgentLogFile`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „AgentLogFile“ hinzugefügt.
`agent.hostname`	`observer.asset.hostname`	Entspricht dem Hostnamen des Beobachters.
`agent.id`	`observer.asset_id`	Wird mit `agent.type` verkettet, um `observer.asset_id` zu bilden.
`agent.type`	`observer.asset_id`	Wird mit `agent.id` verkettet, um `observer.asset_id` zu bilden.
`agent.version`	`observer.platform_version`	Entspricht der Version der Beobachterplattform.
`ApplicationName`	`principal.application`	Wird der Hauptanwendung zugeordnet.
`application_name`	`target.application`	Wird der Zielanwendung zugeordnet.
`client_address`	`principal.ip`	Wird für die Haupt-IP verwendet, wenn sie sich vom Host unterscheidet und nicht lokal oder eine benannte Pipe ist.
`client_ip`	`principal.ip`	Wird der IP-Adresse des Hauptkontos zugeordnet.
`computer_name`	`about.hostname`	Wird dem Hostnamen „about“ zugeordnet.
`correlationId`	`security_result.detection_fields`	Wird als Schlüssel/Wert-Paar zu `security_result.detection_fields` mit dem Schlüssel „correlationId“ hinzugefügt.
`Date`	`metadata.event_timestamp`	Wird mit `Time` kombiniert, um den Zeitstempel des Ereignisses zu erstellen.
`database_name`	`target.resource_ancestors.name`	Wird für den Namen des übergeordneten Elements der Zielressource verwendet, sofern in Audit-Logs vorhanden.
`durationMs`	`network.session_duration.seconds`	Von Millisekunden in Sekunden umgerechnet und zugeordnet.
`ecs.version`	`metadata.product_version`	Entspricht der Produktversion.
`error`	`security_result.detection_fields`	Wird als Schlüssel/Wert-Paar zu `security_result.detection_fields` mit dem Schlüssel „error“ hinzugefügt.
`err_msg`	`security_result.description`	Wird der Beschreibung des Sicherheitsergebnisses zugeordnet.
`EventID`	`metadata.product_event_type`	Wird verwendet, um den Produktereignistyp zu erstellen, wenn andere Felder nicht verfügbar sind. Das Präfix lautet „EventID: “.
`event.action`	`Source`	Wird als Quelle verwendet, falls vorhanden.
`event.code`	`metadata.product_event_type`	Kombiniert mit `event.provider`, um `metadata.product_event_type` zu bilden.
`event.provider`	`metadata.product_event_type`	Kombiniert mit `event.code`, um `metadata.product_event_type` zu bilden.
`EventReceivedTime`	`metadata.ingested_timestamp`	Wird geparst und als Zeitstempel für die Aufnahme verwendet.
`event_time`	`metadata.event_timestamp`	Wird geparst und als Ereigniszeitstempel verwendet.
`file_name`	`principal.process.file.full_path`	Wird dem vollständigen Pfad der Hauptprozessdatei zugeordnet.
`file_path`	`target.file.full_path`	Wird für den vollständigen Pfad der Zieldatei verwendet, wenn er in den Sicherungslogs gefunden wird.
`first_lsn`	`target.resource.attribute.labels`	Wird als Schlüssel/Wert-Paar zu `target.resource.attribute.labels` mit dem Schlüssel „Erste LSN“ hinzugefügt.
`host`	`principal.hostname`, `observer.hostname`	Wird für den Hostnamen des Primär- oder Beobachterknotens verwendet, wenn es sich nicht um eine IP-Adresse handelt. Wird auch für den Zielhostnamen oder die Ziel-IP-Adresse verwendet, je nachdem, ob es sich um eine IP-Adresse handelt oder nicht.
`host.ip`	`principal.ip`	Mit der Haupt-IP-Adresse zusammengeführt.
`host.name`	`host`	Wird als Host verwendet, falls vorhanden.
`Hostname`	`principal.hostname`, `target.hostname`	Wird für den Haupt- oder Zielhostnamen verwendet, sofern vorhanden.
`hostinfo.architecture`	`principal.asset.hardware.cpu_platform`	Wird der CPU-Plattform der Haupt-Asset-Hardware zugeordnet.
`hostinfo.os.build`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „os_build“ hinzugefügt.
`hostinfo.os.kernel`	`principal.platform_patch_level`	Wird der Patch-Ebene der Hauptplattform zugeordnet.
`hostinfo.os.name`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „os_name“ hinzugefügt.
`hostinfo.os.platform`	`principal.platform`	In Großbuchstaben und der Hauptplattform zugeordnet.
`hostinfo.os.version`	`principal.platform_version`	Wird der Hauptplattformversion zugeordnet.
`last_lsn`	`target.resource.attribute.labels`	Wird als Schlüssel/Wert-Paar zu `target.resource.attribute.labels` mit dem Schlüssel „Last LSN“ hinzugefügt.
`level`	`security_result.severity`	Wenn „Informational“ festgelegt ist, wird `security_result.severity` auf „INFORMATIONAL“ gesetzt.
`log.level`	`security_result.severity_details`	Ordnet Schweregradinformationen für Sicherheitsergebnisse zu.
`LoginName`	`principal.user.userid`	Wird für die Hauptnutzer-ID verwendet, sofern in KV-Logs vorhanden.
`login_result`	`security_result.action`	Bestimmt die Aktion für das Sicherheitsergebnis (ZULASSEN oder BLOCKIEREN).
`logon_user`	`principal.user.userid`	Wird für die Hauptnutzer-ID verwendet, sofern sie in Anmeldeprotokollen vorhanden ist.
`logstash.process.host`	`intermediary.hostname`	Wird dem Hostnamen des Vermittlers zugeordnet.
`Message`	`metadata.description`, `security_result.description`	Wird je nach Protokolltyp für die Ereignisbeschreibung oder die Beschreibung des Sicherheitsergebnisses verwendet.
`msg`	`metadata.description`	Wird für die Ereignisbeschreibung verwendet, falls vorhanden.
`ObjectName`	`target.resource.name`	Wird dem Namen der Zielressource zugeordnet.
`object_name`	`target.resource.name`	Wird für den Namen der Zielressource verwendet, sofern in Audit-Logs vorhanden.
`ObjectType`	`target.resource.type`	Wird dem Zielressourcentyp zugeordnet.
`operationId`	`security_result.detection_fields`	Wird als Schlüssel/Wert-Paar zu `security_result.detection_fields` mit dem Schlüssel „operationId“ hinzugefügt.
`operationName`	`metadata.product_event_type`	Wird dem Ereignistyp „Produkt“ zugeordnet.
`operationVersion`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „operationVersion“ hinzugefügt.
`ProcessInfo`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „ProcessInfo“ hinzugefügt.
`properties.apiVersion`	`metadata.product_version`	Wird der Produktversion zugeordnet.
`properties.appId`	`target.resource.product_object_id`	Wird der Produktobjekt-ID der Zielressource zugeordnet.
`properties.clientAuthMethod`	`extensions.auth.auth_details`	Wird verwendet, um Authentifizierungsdetails zu ermitteln.
`properties.clientRequestId`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „clientRequestId“ hinzugefügt.
`properties.durationMs`	`network.session_duration.seconds`	In Sekunden umgerechnet und zugeordnet.
`properties.identityProvider`	`security_result.detection_fields`	Wird als Schlüssel/Wert-Paar zu `security_result.detection_fields` mit dem Schlüssel „identityProvider“ hinzugefügt.
`properties.ipAddress`	`principal.ip`, `principal.asset.ip`	Nach IP-Adressen durchsucht und in die primäre IP-Adresse und die IP-Adresse des primären Assets zusammengeführt.
`properties.location`	`principal.location.name`	Entspricht dem Namen des Hauptstandorts.
`properties.operationId`	`security_result.detection_fields`	Wird als Schlüssel/Wert-Paar zu `security_result.detection_fields` mit dem Schlüssel „operationId“ hinzugefügt.
`properties.requestId`	`metadata.product_log_id`	Entspricht der Produktprotokoll-ID.
`properties.requestMethod`	`network.http.method`	Entspricht der HTTP-Methode des Netzwerks.
`properties.requestUri`	`target.url`	Wird der Ziel-URL zugeordnet.
`properties.responseSizeBytes`	`network.received_bytes`	In eine Ganzzahl ohne Vorzeichen konvertiert und zugeordnet.
`properties.responseStatusCode`	`network.http.response_code`	In Ganzzahl konvertiert und zugeordnet.
`properties.roles`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „roles“ hinzugefügt.
`properties.servicePrincipalId`	`principal.user.userid`	Wird für die Hauptnutzer-ID verwendet, wenn `properties.userId` nicht vorhanden ist.
`properties.signInActivityId`	`network.session_id`	Wird der Netzwerksitzungs-ID zugeordnet.
`properties.tenantId`	`metadata.product_deployment_id`	Entspricht der ID der Produktbereitstellung.
`properties.tokenIssuedAt`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „tokenIssuedAt“ hinzugefügt.
`properties.userAgent`	`network.http.user_agent`	Entspricht dem HTTP-User-Agent des Netzwerks.
`properties.userId`	`principal.user.userid`	Wird für die Hauptnutzer-ID verwendet, falls vorhanden.
`properties.wids`	`security_result.detection_fields`	Wird als Schlüssel/Wert-Paar zu `security_result.detection_fields` mit dem Schlüssel „wids“ hinzugefügt.
`reason`	`security_result.summary`	Wird für die Zusammenfassung des Sicherheitsergebnisses bei Anmeldeereignissen verwendet.
`resourceId`	`target.resource.attribute.labels`	Wird als Schlüssel/Wert-Paar zu `target.resource.attribute.labels` mit dem Schlüssel „Resource ID“ (Ressourcen-ID) hinzugefügt.
`schema_name`	`target.resource_ancestors.resource_subtype`	Wird für den übergeordneten Untertyp der Zielressource verwendet, falls in Audit-Logs vorhanden.
`security_result.description`	`metadata.description`	Wird für die Ereignisbeschreibung verwendet, wenn es sich nicht um ein Prüfereignis handelt.
`security_result.severity`	`security_result.severity`	Karten werden direkt angezeigt, sofern vorhanden. Wird für KV-Logs auf „LOW“, für bestimmte Fehlermeldungen auf „INFORMATIONAL“ gesetzt und aus den Feldern `level` oder `Severity` abgeleitet.
`security_result.severity_details`	`security_result.severity_details`	Wird direkt zugeordnet, falls vorhanden.
`security_result.summary`	`security_result.summary`	Wird direkt zugeordnet, falls vorhanden. Legen Sie „Verbindung über Windows-Authentifizierung hergestellt“ oder bestimmte Gründe aus Anmeldeereignissen oder „SQL Server-Audit-Datensatz“ für Audit-Ereignisse fest.
`security_result_action`	`security_result.action`	Mit `security_result.action` zusammengeführt. Bei den meisten Ereignissen auf „ALLOW“ festgelegt und bei Anmeldeereignissen von `login_result` abgeleitet.
`server_instance_name`	`target.hostname`	Wird für den Zielhostnamen verwendet, falls in Audit-Logs vorhanden.
`server_principal_name`	`principal.user.userid`	Wird für die Hauptnutzer-ID verwendet, sofern sie in Audit-Logs vorhanden ist.
`server_principal_sid`	`principal.asset_id`	Wird verwendet, um die Haupt-Asset-ID zu erstellen, mit dem Präfix „server SID:“.
`session_id`	`network.session_id`	Wird für die Netzwerk-Sitzungs-ID verwendet, sofern sie in Audit-Logs vorhanden ist.
`sev`	`security_result.severity`	Wird verwendet, um den Schweregrad des Sicherheitsergebnisses zu bestimmen.
`Severity`	`security_result.severity`	Wird verwendet, um den Schweregrad des Sicherheitsergebnisses zu bestimmen.
`Source`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „Source“ hinzugefügt.
`source`	`principal.resource.attribute.labels`	Wird als Schlüssel/Wert-Paar zu `principal.resource.attribute.labels` mit dem Schlüssel „source“ hinzugefügt.
`SourceModuleType`	`observer.application`	Entspricht der Observer-Anwendung.
`SourceModuleName`	`additional.fields`	Wird als Schlüssel/Wert-Paar zu `additional.fields` mit dem Schlüssel „SourceModuleName“ hinzugefügt.
`source_module_name`	`observer.labels`	Wird als Schlüssel/Wert-Paar zu `observer.labels` mit dem Schlüssel „SourceModuleName“ hinzugefügt.
`source_module_type`	`observer.application`	Entspricht der Observer-Anwendung.
`SPID`	`network.session_id`	Wird der Netzwerk-Sitzungs-ID zugeordnet.
`statement`	`target.process.command_line`	Wird für die Befehlszeile des Zielprozesses verwendet, falls in Audit-Logs vorhanden.
`TextData`	`security_result.description`, `metadata.description`	Wird für die Beschreibung des Sicherheitsergebnisses verwendet, wenn es sich nicht um ein Anmeldeereignis handelt, oder für die Ereignisbeschreibung, wenn es sich um ein Anmeldeereignis handelt.
`time`	`metadata.event_timestamp`	Wird als Ereigniszeitstempel geparst und verwendet.
`Time`	`metadata.event_timestamp`	Wird mit `Date` kombiniert, um den Zeitstempel des Ereignisses zu erstellen.
`transaction_id`	`target.resource.attribute.labels`	Wird als Schlüssel/Wert-Paar zu `target.resource.attribute.labels` mit dem Schlüssel „transaction_id“ hinzugefügt.
`UserID`	`principal.user.windows_sid`	Wird für die Windows-SID des Hauptnutzers verwendet, falls vorhanden und im richtigen Format.
`user_id`	`principal.user.userid`	Wird für die Hauptnutzer-ID verwendet, falls vorhanden.
`metadata.log_type`	`metadata.log_type`	Hartcodiert auf „MICROSOFT_SQL“.
`metadata.vendor_name`	`metadata.vendor_name`	Fest codiert auf „Microsoft“.
`metadata.product_name`	`metadata.product_name`	Hartcodiert auf „SQL Server“.
`metadata.event_type`	`metadata.event_type`	Wird je nach Protokollinhalt auf verschiedene Werte festgelegt, darunter „USER_LOGIN“, „USER_LOGOUT“, „STATUS_STARTUP“, „STATUS_SHUTDOWN“, „NETWORK_HTTP“, „GENERIC_EVENT“ und standardmäßig „STATUS_UNCATEGORIZED“.
`extensions.auth.type`	`extensions.auth.type`	Legen Sie für Anmelde- und Abmeldeereignisse „MACHINE“ fest.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten