איסוף יומנים של MongoDB

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני MongoDB ב-Google Security Operations באמצעות Bindplane.

‫MongoDB הוא מסד נתונים מסוג NoSQL לאחסון מסמכים, שיוצר יומני ביקורת לפעולות CRUD, לאירועי אימות, לפקודות של מסד נתונים ולפעולות של קבוצת רפליקות. ‫MongoDB כותב קובצי יומן מובְנים בפורמט JSON באופן מקומי, וסוכן Bindplane יכול לאסוף אותם ישירות ממערכת הקבצים.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת MongoDB
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות לשרת MongoDB (תפקיד אדמין של מסד נתונים או הרשאות בסיס)
• ‫MongoDB Enterprise או MongoDB Community Edition עם רישום ביומן ביקורת מופעל

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת הסוכן של Bindplane להטמעת יומנים ושליחה שלהם ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    filelog:
      include:
        - /var/log/mongodb/auditLog.json
      start_at: beginning
  
  exporters:
    chronicle/mongodb:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: MONGO_DB
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/mongodb_to_chronicle:
        receivers:
          - filelog
        exporters:
          - chronicle/mongodb
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫filelog: סוג המקלט לאיסוף קובצי יומן מהדיסק
  • ‫include: רשימה של נתיבי קבצים למעקב:
    • ‫Linux:‏ /var/log/mongodb/auditLog.json (נתיב ברירת המחדל של יומן הביקורת של MongoDB)
    • ‫Windows:‏ C:\data\log\auditLog.json או הנתיב שהגדרתם ליומן הביקורת
  • ‫start_at: צריך להגדיר את הערך beginning כדי לקרוא יומנים קיימים, או את הערך end כדי לקרוא רק רשומות חדשות

• הגדרת הייצוא:

  • ‫mongodb: שם תיאורי של הייצואן
  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • ‫MONGO_DB: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

• הגדרת צינור עיבוד הנתונים:

  • ‫mongodb_to_chronicle: שם תיאורי של צינור עיבוד הנתונים

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/mongodb:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MONGO_DB
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת MongoDB ליצירת יומני ביקורת

1. נכנסים לשרת MongoDB עם הרשאות אדמין או הרשאות בסיס.
2. פותחים את קובץ התצורה של MongoDB‏ (mongod.conf). מיקומי ברירת המחדל:
   • Linux: /etc/mongod.conf
   • Windows: C:\Program Files\MongoDB\Server\<version>\bin\mongod.cfg

3. מוודאים שרישום ביומן הביקורת מופעל. בקובץ mongod.conf, מוודאים שההגדרות הבאות קיימות:

   • ‫auditLog.destination מוגדר לערך file.
   • ‫auditLog.format מוגדר לערך JSON.

   • שימו לב לauditLog.path (לדוגמה, /var/log/mongodb/auditLog.json).

   • אם רישום ביומן הביקורת לא מופעל, מוסיפים את הקוד הבא לקובץ mongod.conf:

   auditLog:
     destination: file
     format: JSON
     path: /var/log/mongodb/auditLog.json
   

4. מפעילים מחדש את שירות MongoDB כדי להחיל את ההגדרות:

   • Linux:

     sudo systemctl restart mongod
     

   • Windows:

     net stop MongoDB && net start MongoDB
     

5. מוודאים שקובץ יומן הביקורת נכתב בנתיב שהוגדר (לדוגמה, /var/log/mongodb/auditLog.json).

6. מוודאים שהנתיב של סוכן Bindplane include ב-config.yaml תואם ל-auditLog.path שהוגדר ב-mongod.conf.

   הערה: כדי להשתמש בתכונה של רישום ביומן הביקורת, צריך את MongoDB Enterprise. ב-MongoDB Community Edition אין רישום מובנה של יומן ביקורת. מוודאים שחשבון השירות של סוכן Bindplane יכול לקרוא את הנתיב של יומן הביקורת.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
ctx, connectionId, connectionCount, attr.protocol, attr.storage.data.bytesRead, attr.storage.data.timeReadingMicros, attr.command.$readPreference.mode, attr.queryHash, param_old, cluster_node, param.indexName, temp_db_value	additional.fields	מיזוג של שדות שונים על סמך תנאים
db_mechanism, param.mechanism	extensions.auth.auth_details	ערך מ-db_mechanism אם הוא לא ריק, אחרת param.mechanism
	extensions.auth.mechanism	צריך להגדיר את הערך "MECHANISM_OTHER"
	extensions.auth.type	מגדירים את הערך "AUTHTYPE_UNSPECIFIED"
lb_hostname, src_hostname	intermediary.hostname	הערך מ-lb_hostname אם הוא לא ריק, אחרת src_hostname
lb_port, src_port	intermediary.port	הערך מ-lb_port אם הוא לא ריק, אחרת src_port (מומר למספר שלם)
msg	metadata.description	הערך הועתק ישירות
	metadata.event_type	הגדרה על סמך התנאים msg_atype, ‏ category, ‏ param_passwordChanged, ‏ param_command, ‏ remote_ip
msg_atype, category	metadata.product_event_type	ערך מ-msg_atype אם הוא לא ריק, אחרת קטגוריה
id, type, traceId	metadata.product_log_id	הערך מ-id אם הוא לא ריק, אחרת uuid.$binary אם type == "04", אחרת traceId
	metadata.product_name	מגדירים את האפשרות MongoDB Enterprise.
	metadata.vendor_name	מגדירים את הערך MongoDB.
application_name	principal.application	הערך הועתק ישירות
accessLog.hostname	principal.asset.hostname	הערך הועתק ישירות
remote_ip	principal.asset.ip	הערך הועתק ישירות
software_label	principal.asset.software	מוזג מ-software_label
accessLog.hostname	principal.hostname	הערך הועתק ישירות
remote_ip	principal.ip	הערך הועתק ישירות
os_type	principal.platform	צריך להגדיר WINDOWS אם יש התאמה ל-Windows, ‏MAC אם יש התאמה ל-osx או ל-mac, ו-LINUX אם יש התאמה ל-Linux
os_name, param.clientMetadata.os.name	principal.platform_patch_level	הערך מ-os_name אם הוא לא ריק, אחרת param.clientMetadata.os.name
os_version, param.clientMetadata.os.version	principal.platform_version	הערך מ-os_version אם הוא לא ריק, אחרת param.clientMetadata.os.version
remote_port	principal.port	ההמרה למספר שלם
principal_userid	principal.user.userid	הערך הועתק ישירות
sr_action	security_result.action	הערך הועתק ישירות
param.reason, param.indexBuildState	security_result.description	ערך מ-param.reason אם msg_atype == "logout"; מ-param.indexBuildState אם msg_atype in ["createIndex", "dropIndex"]
severity, level	security_result.severity	הגדרת INFORMATIONAL אם רמת החומרה היא ["i", "I"] או הרמה היא ["INFO", "DEBUG"]; הגדרת ERROR אם רמת החומרה היא ["e", "E"] או הרמה היא == "ERROR"; הגדרת MEDIUM אם רמת החומרה היא ["w", "W", "f", "F"]
msg_result, attr.error, attr.planSummary, reason, attr.msg_data	security_result.summary	מוגדר על סמך התנאים msg_result, ‏ attr.error, ‏ attr.planSummary, ‏ reason, ‏ attr.msg_data
db_value	target.administrative_domain	הערך הועתק ישירות
application_name	target.application	הערך הועתק ישירות
local_ip	target.asset.ip	הערך הועתק ישירות
host_group	target.group.group_display_name	הערך הועתק ישירות
local_ip	target.ip	הערך הועתק ישירות
local_port	target.port	ההמרה למספר שלם
old_name_label, cluster_node_label, mode_label, query_hash_label, bytes_read_label, time_reading_micro_label, environment_label, area_label	target.resource.attribute.labels	מוזג משדות שונים של תוויות
param_ns, db_value, param_new, param.args.find	target.resource.name	הגדרה על סמך התנאים msg_atype ו-param_command
	target.resource.resource_subtype	צריך להגדיר את הערך "מסד נתונים של MongoDB" לאירועים של מסד נתונים או משתמש, את הערך "אוסף MongoDB" לאירועים של אוסף ואת הערך "אינדקס MongoDB" לאירועים של אינדקס
	target.resource.resource_type	צריך להגדיר את הערך "DATABASE" לאירועים של מסד נתונים או משתמש, ואת הערך "TABLE" לאירועים של אוסף או אינדקס
db_user, param.user	target.user.userid	הערך מ-db_user אם הוא לא ריק, אחרת param.user
service.name	event.idm.read_only_udm.target.application	מופה מיומן השינויים
host.name	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
host.name	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
mongodb.group.id	event.idm.read_only_udm.principal.group.product_object_id	מופה מיומן השינויים
mongodb.cluster.name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
mongodb.customer.cluster.name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
ts.date	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
uuid.binary	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
users.1.user	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
remote.ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
remote.port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
local.ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
local.port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
roles.role	event.idm.read_only_udm.principal.user.attribute.roles	מופה מיומן השינויים
param.args.client.application.name	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
param.args.client.os.type	event.idm.read_only_udm.principal.asset.platform_software.platform	מופה מיומן השינויים
param.args.client.os.version	event.idm.read_only_udm.principal.platform_version	מופה מיומן השינויים
param.args.client.os.architecture	event.idm.read_only_udm.principal.asset.hardware	מופה מיומן השינויים
atype	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
param.command	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
param.ns	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
result	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
mongodb.log.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.db	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
uuid.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.clientOperationKey.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.clientOperationKey.binary	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.aggregate	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.mayBypassWriteBlocking	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.configTime.timestamp.t	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.topologyTime.timestamp.t	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.audit	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.cursor.batchSize.numberLong	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.includeQueryStatsMetrics	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.fromMongos	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.readConcern.provenance	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.readConcern.level	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.writeConcern.provenance	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.writeConcern.level	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.client.platform	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.client.driver.name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.client.driver.version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.client.os.name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.clusterTime	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.lsid.id.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.lsid.uid.binary	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.users.1.db	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.client.mongos.version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.writeConcern.w	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.writeConcern.wtimeout	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.lsid.uid.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.pipeline.1.match.managedClusterType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.pipeline.2.group.n.sum.const	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.pipeline.2.group._id.const	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.client.mongos.client.port	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param.args.audit.impersonatedRoles	event.idm.read_only_udm.principal.user.attribute.roles	מופה מיומן השינויים
param.args.audit.impersonatedUser	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
param.args.client.mongos.client	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
param.args.client.mongos.host	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
param.args.client.mongos.host	event.idm.read_only_udm.intermediary.port	מופה מיומן השינויים
accessLog.authResult	additional.fields	מופה מיומן השינויים
accessLog.authSource	additional.fields	מופה מיומן השינויים
accessLog.failureReason	additional.fields	מופה מיומן השינויים
accessLog.groupId	target.resource.product_object_id	מופה מיומן השינויים
accessLog.ipAddress	intermediary.ip	מופה מיומן השינויים
accessLog.logLine.t.$date	additional.fields	מופה מיומן השינויים
accessLog.logLine.s	additional.fields	מופה מיומן השינויים
accessLog.logLine.c	additional.fields	מופה מיומן השינויים
accessLog.logLine.id	additional.fields	מופה מיומן השינויים
accessLog.logLine.ctx	additional.fields	מופה מיומן השינויים
accessLog.logLine.msg	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.client	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.isSpeculative	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.isClusterMember	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.mechanism	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.user	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.db	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.result	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.metrics.conversation_duration.micros	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.metrics.conversation_duration.summary.step	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.metrics.conversation_duration.summary.step_total	additional.fields	מופה מיומן השינויים
accessLog.logLine.attr.metrics.conversation_duration.summary.duration_micros	additional.fields	מופה מיומן השינויים
accessLog.username	target.user.user_display_name	מופה מיומן השינויים
accessLog.timestamp	additional.fields	מופה מיומן השינויים
roles.db	principal.user.attribute.roles	מופה מיומן השינויים
roles.db	target.user.attribute.roles	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.