Nutanix Prism Central-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Nutanix Prism Central-Logs mit Bindplane in Google Security Operations aufnehmen. Nutanix Prism Central ist eine zentrale Verwaltungsplattform für hyperkonvergente Infrastrukturcluster von Nutanix. Sie bietet eine einheitliche Ansicht für das Monitoring, die Verwaltung und die Automatisierung von Vorgängen in mehreren Nutanix-Clustern, einschließlich der Verwaltung des VM-Lebenszyklus, der Kapazitätsplanung und des Sicherheitsmonitorings.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Windows 2016- oder höherer oder Linux-Host mit systemd.
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Nutanix Prism Central-Webkonsole mit der Rolle „Administrator“ oder „Prism-Administrator“.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

1. Greifen Sie auf die Konfigurationsdatei zu:

   • Suchen Sie die Datei config.yaml. In der Regel befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/nutanix_prism:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: chronicle.googleapis.com
           log_type: NUTANIX_PRISM
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/nutanix_prism_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/nutanix_prism
   

• Ersetzen Sie den Port und die IP-Adresse entsprechend Ihrer Infrastruktur.
• Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
• Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
• Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kundennummer.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Dienstkontoschlüsseldatei (Option 1) gespeichert wurde.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/nutanix_prism:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: '<CUSTOMER_ID>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: NUTANIX_PRISM
          raw_log_field: body
          ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

   sudo systemctl restart observiq-otel-collector
   

2. Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Syslog-Weiterleitung in Nutanix Prism Central konfigurieren

Remote-Syslog-Server konfigurieren

1. Melden Sie sich in der Webkonsole von Nutanix Prism Central an.
2. Klicken Sie rechts oben auf das Zahnradsymbol (Einstellungen).
3. Scrollen Sie im Bereich Einstellungen nach unten und wählen Sie im Abschnitt Monitoring und Logging die Option Syslog-Server aus.
4. Klicken Sie auf + Syslog-Server konfigurieren.
5. Geben Sie im Feld Servername einen aussagekräftigen Namen ein (z. B. Bindplane-SecOps).
6. Geben Sie im Feld IP-Adresse die IP-Adresse des Bindplane-Agent-Hosts ein.
7. Geben Sie im Feld Port den Wert 514 (oder den von Ihnen konfigurierten Port) ein.
8. Wählen Sie im Drop-down-Menü Transport Protocol (Transportprotokoll) die Option UDP aus.
9. Klicken Sie auf Speichern.

Logmodule konfigurieren

1. Klicken Sie nach dem Hinzufügen des Syslog-Servers auf den Servereintrag Bindplane-SecOps.
2. Klicken Sie auf + Modul hinzufügen, um zu konfigurieren, welche Logtypen weitergeleitet werden sollen.
3. Fügen Sie die folgenden Module entsprechend Ihren Anforderungen hinzu:
   • AUDIT: Erfasst Nutzerauthentifizierungsereignisse, Konfigurationsänderungen und API-Aktivitäten.
   • API_AUDIT: Erfasst alle REST API-Aufrufe an Prism Central.
   • FLOW: Erfasst Flusslogs für die Netzwerkmikrosegmentierung (wenn Flow aktiviert ist).
   • MICROSEG: Erfasst Ereignisse im Zusammenhang mit Mikrosegmentierungsrichtlinien.
4. Für jedes Modul:
   1. Wählen Sie im Drop-down-Menü das Modul aus.
   2. Legen Sie die Protokollebene auf INFO oder die gewünschte Ebene fest (empfohlen: INFO für eine umfassende Protokollierung).
   3. Klicken Sie auf Speichern.

Syslog auf einzelnen Prism Element-Clustern konfigurieren (optional)

Wenn Sie auch Logs von einzelnen Prism Element-Clustern benötigen:

1. Melden Sie sich in der Prism Element-Webkonsole für den jeweiligen Cluster an.
2. Klicken Sie auf das Zahnradsymbol (Einstellungen).
3. Gehen Sie im Bereich Monitoring und Logging zu Syslog-Server.
4. Klicken Sie auf + Syslog-Server konfigurieren.
5. Geben Sie die gleichen Bindplane-Agent-Details ein:
   • Servername: Geben Sie Bindplane-SecOps ein.
   • IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 ein.
   • Transport Protocol: Wählen Sie UDP aus.
6. Klicken Sie auf Speichern.
7. Fügen Sie nach Bedarf Module (AUDIT, HARDWARE, STORAGE, HYPERVISOR) hinzu.

Weitere Informationen finden Sie in der Syslog-Dokumentation zu Nutanix Prism Central.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
audit_log	about	Zugeordnet: true → about
audit_log	about.labels	Zugeordnete Werte (insgesamt 5, z.B. true → labels_syscall, true → labels_data, true → `la...
labels_arch	about.labels	Zusammengeführt
labels_data	about.labels	Zusammengeführt
labels_devmajor	about.labels	Zusammengeführt
labels_devminor	about.labels	Zusammengeführt
labels_syscall	about.labels	Zusammengeführt
audit_log	additional.fields	Zugeordnet: false → originating_id, false → sessionId_label, false → source_file_label
creation_time_usecs_label	additional.fields	Zusammengeführt
curr_range_idx_label	additional.fields	Zusammengeführt
deserialization_in_progress_label	additional.fields	Zusammengeführt
done_callback_set_label	additional.fields	Zusammengeführt
is_arena_enabled_label	additional.fields	Zusammengeführt
last_rpc_time_usecs_label	additional.fields	Zusammengeführt
line_number_label	additional.fields	Zusammengeführt
message	additional.fields	Zugeordnet: pam_unix → pam_module_label, pam_unix → pam_submodule_label
num_rpcs_before_stateful_scans_got_enabled_label	additional.fields	Zusammengeführt
nutanix_scan_keys_label	additional.fields	Zusammengeführt
originating_id	additional.fields	Zusammengeführt
pam_module_label	additional.fields	Zusammengeführt
pam_submodule_label	additional.fields	Zusammengeführt
prefetch_error_label	additional.fields	Zusammengeführt
prefetch_hits_label	additional.fields	Zusammengeführt
prefetch_in_progress_label	additional.fields	Zusammengeführt
prefetch_stopped_label	additional.fields	Zusammengeführt
processed_data_size_label	additional.fields	Zusammengeführt
sessionId_label	additional.fields	Zusammengeführt
source_file_label	additional.fields	Zusammengeführt
thread_name_label	additional.fields	Zusammengeführt
total_data_read_bytes_label	additional.fields	Zusammengeführt
total_deserialization_time_usecs_label	additional.fields	Zusammengeführt
total_rows_read_label	additional.fields	Zusammengeführt
total_rpc_time_usecs_label	additional.fields	Zusammengeführt
total_rpcs_done_label	additional.fields	Zusammengeführt
total_scan_time_label	additional.fields	Zusammengeführt
unprocessed_data_size_label	additional.fields	Zusammengeführt
use_chakrdb_backend_label	additional.fields	Zusammengeführt
vblocks_label	additional.fields	Zusammengeführt
vdisk_id_label	additional.fields	Zusammengeführt
audit_log	extensions.auth.type	Zugeordnet: false → AUTHTYPE_UNSPECIFIED, true → MACHINE, true → AUTHTYPE_UNSPECIFIED
audit_log_type	extensions.auth.type	Zugeordnete Werte (insgesamt 6, z.B. `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
has_principal	extensions.auth.type	Zugeordnet: true → AUTHTYPE_UNSPECIFIED
audit_log	intermediary	Zugeordnet: false → intermediary, false → logstash1, true → intermediary
logstash1	intermediary	Zusammengeführt
dvc	intermediary.hostname	Umbenannt/zugeordnet
header_host	intermediary.hostname	Direkt zugeordnet
logstash.ingest.host	intermediary.hostname	Direkt zugeordnet
defaultMsg	metadata.description	Zugeordnet, wenn audit_log == false
description	metadata.description	Zugeordnet, wenn api_call_message != ``
msg2	metadata.description	Direkt zugeordnet
logstash.collect.timestamp	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss.SSS
logstash.ingest.timestamp	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss.SSS
logstash.process.timestamp	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss.SSS
metadata_ingested_timestamp	metadata.event_timestamp	Geparst als UNIX
timestamp	metadata.event_timestamp	Geparst als MMM d HH:mm:ss
audit_log	metadata.event_type	Zugeordnete Werte (insgesamt 30, z.B. false → GENERIC_EVENT, false → USER_LOGIN, false → `...
audit_log_type	metadata.event_type	Direkt zugeordnet
has_principal	metadata.event_type	Zugeordnet: true → USER_LOGIN, true → STATUS_UPDATE, true → GENERIC_EVENT
has_principal_id	metadata.event_type	Zugeordnet: false → GENERIC_EVENT, true → SETTING_MODIFICATION, true → PROCESS_LAUNCH
http_method	metadata.event_type	Zugeordnet: GET → USER_RESOURCE_ACCESS, POST → RESOURCE_CREATION, "PATCH","UPDATE" → `...
audit_log_type	metadata.product_event_type	Direkt zugeordnet
eventType	metadata.product_event_type	Direkt zugeordnet
operation	metadata.product_event_type	Zugeordnet, wenn api_call_message != ``
operationType	metadata.product_event_type	Zugeordnet, wenn audit_log == false
pam_message	metadata.product_event_type	Zugeordnet, wenn message =~ pam_unix
program	metadata.product_event_type	Zugeordnet, wenn audit_log == false
entity_uuid	metadata.product_log_id	Zugeordnet, wenn audit_log == false
uuid	metadata.product_log_id	Zugeordnet, wenn audit_log == false
audit_log	metadata.product_name	Zugeordnet: true → Nutanix_Prism
api_version	metadata.product_version	Zugeordnet, wenn audit_log == false
audit_log	metadata.vendor_name	Zugeordnet: true → Nutanix_Prism
audit_log	network.application_protocol	Zugeordnet: true → SSH
audit_log_type	network.application_protocol	Zugeordnet: CRYPTO_SESSION → SSH
audit_log	network.direction	Zugeordnet: true → OUTBOUND, true → INBOUND
audit_log_type	network.direction	Zugeordnet: CRYPTO_SESSION → OUTBOUND, CRYPTO_SESSION → INBOUND
direction	network.direction	Zugeordnet: from-client → OUTBOUND, from-server → INBOUND
http_method	network.http.method	Zugeordnet, wenn audit_log == false
audit_log	network.ip_protocol	Zugeordnete Werte (insgesamt 6, z.B. false → UDP, false → TCP, true → IP6IN4)
audit_log_type	network.ip_protocol	Zugeordnet: CRYPTO_SESSION → TCP
audit_log	network.sent_bytes	Zugeordnet: true → uinteger
audit_log_type	network.sent_bytes	Zugeordnet: CRYPTO_SESSION → uinteger
ksize	network.sent_bytes	Direkt zugeordnet
ses	network.session_id	Direkt zugeordnet
session_id	network.session_id	Direkt zugeordnet
cipher	network.tls.cipher	Direkt zugeordnet
pfs	network.tls.curve	Direkt zugeordnet
agent.type	observer.application	Zugeordnet, wenn audit_log == false
agent.id	observer.asset_id	Zugeordnet, wenn audit_log == false
agent.type	observer.asset_id	Zugeordnet, wenn audit_log == false
audit_log	observer.ip	Zugeordnet: false → collect_ip
collect_ip	observer.ip	Zusammengeführt
agent.version	observer.platform_version	Zugeordnet, wenn audit_log == false
application	principal.application	Zugeordnet, wenn application != ``
comm	principal.application	Direkt zugeordnet
terminal	principal.application	Direkt zugeordnet
audit_log	principal.asset.attribute.labels	Zugeordnet: true → token_new
token_new	principal.asset.attribute.labels	Zusammengeführt
audit_log	principal.asset.hardware	Zugeordnet: false → hardware
hardware	principal.asset.hardware	Zusammengeführt
hostname	principal.asset.hostname	Zugeordnet, wenn hostname != ``
principal_hostname	principal.asset.hostname	Direkt zugeordnet
syslog_host	principal.asset.hostname	Zugeordnet, wenn audit_log == false
audit_log	principal.asset.ip	Zugeordnet: false → clientIp, false → src_ip, false → ip
clientIp	principal.asset.ip	Zusammengeführt
ip	principal.asset.ip	Zusammengeführt
replica_ip	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
host.id	principal.asset_id	Zugeordnet, wenn audit_log == false
target.group	principal.group	Umbenannt/zugeordnet
audit_log	principal.group.attribute.labels	Zugeordnet: true → labels_inode_gid
labels_inode_gid	principal.group.attribute.labels	Zusammengeführt
hostname	principal.hostname	Direkt zugeordnet
principal_asset_hostname	principal.hostname	Direkt zugeordnet
syslog_host	principal.hostname	Zugeordnet, wenn audit_log == false
addr	principal.ip	Zusammengeführt
audit_log	principal.ip	Zugeordnete Werte (insgesamt 6, z.B. false → clientIp, false → src_ip, false → ip)
audit_log_type	principal.ip	Zugeordnet: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
clientIp	principal.ip	Zusammengeführt
ip	principal.ip	Zusammengeführt
laddr	principal.ip	Zusammengeführt
replica_ip	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
audit_log	principal.labels	Zugeordnet: false → irmsite, false → irmregion, false → irmenvironment, false → `c...
clienttype	principal.labels	Zusammengeführt
irmenvironment	principal.labels	Zusammengeführt
irmregion	principal.labels	Zusammengeführt
irmsite	principal.labels	Zusammengeführt
audit_log	principal.mac	Zugeordnet: false → mac, true → formatted_mac_addr
formatted_mac_addr	principal.mac	Zusammengeführt
mac	principal.mac	Zusammengeführt
audit_log	principal.platform	Zugeordnete Werte (insgesamt 5, z.B. false → LINUX, false → WINDOWS, false → MAC)
host.os.kernel	principal.platform_patch_level	Zugeordnet, wenn audit_log == false
host.os.version	principal.platform_version	Zugeordnet, wenn audit_log == false
rport	principal.port	Direkt zugeordnet
src_port	principal.port	Zugeordnet, wenn audit_log == false
cgroup	principal.process.file.full_path	Direkt zugeordnet
process_name	principal.process.file.names	Zusammengeführt
target.process.parent_process.pid	principal.process.parent_process.pid	Umbenannt/zugeordnet
princ_pid	principal.process.pid	Zugeordnet, wenn audit_log == false
process_id	principal.process.pid	Zugeordnet, wenn process_id != ``
spid	principal.process.pid	Direkt zugeordnet
target.process.pid	principal.process.pid	Umbenannt/zugeordnet
target.user	principal.user	Umbenannt/zugeordnet
audit_log	principal.user.attribute.labels	Zugeordnet: true → labels_inode_uid
labels_inode_uid	principal.user.attribute.labels	Zusammengeführt
acct	principal.user.user_display_name	Direkt zugeordnet
userName	principal.user.user_display_name	Zugeordnet, wenn audit_log == false
user_id	principal.user.user_display_name	Zugeordnet, wenn audit_log == false
pam_principal_uid	principal.user.userid	Zugeordnet, wenn message =~ pam_unix
suid	principal.user.userid	Direkt zugeordnet
uid	principal.user.userid	Direkt zugeordnet
user_id	principal.user.userid	Zugeordnet, wenn audit_log == false
audit_log	security_result	Zugeordnet: false → security_result, true → security_result
audit_log	security_result.about.labels	Zugeordnet: true → labels_list
labels_list	security_result.about.labels	Zusammengeführt
action	security_result.action	Zusammengeführt
audit_log	security_result.action	Zugeordnet: true → security_action, true → action
audit_log_type	security_result.action	Zugeordnet: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
res	security_result.action	Zugeordnet: success → security_action
security_action	security_result.action	Zusammengeführt
res	security_result.action_details	Direkt zugeordnet
alertuid	security_result.detection_fields	Zusammengeführt
audit_log	security_result.detection_fields	Zugeordnete Werte (insgesamt 7, z.B. false → entity_type, false → entity_name, false → `en...
detection_fields_key	security_result.detection_fields	Zusammengeführt
entity_name	security_result.detection_fields	Zusammengeführt
entity_type	security_result.detection_fields	Zusammengeführt
entity_uuid	security_result.detection_fields	Zusammengeführt
labels_saddr	security_result.detection_fields	Zusammengeführt
labels_sig	security_result.detection_fields	Zusammengeführt
audit_log	security_result.severity	Zugeordnete Werte (insgesamt 5, z.B. false → CRITICAL, false → ERROR, false → HIGH)
log_level	security_result.severity	Zugeordnet: "EMERGENCY","ALERT","CRITICAL" → CRITICAL, WARNING → HIGH, NOTICE → `MEDIU...
audit_log	security_result.summary	Zugeordnet: true → systemcall was successful, true → systemcall was failed
op	security_result.summary	Direkt zugeordnet
reason	security_result.summary	Direkt zugeordnet
res	security_result.summary	Direkt zugeordnet
success	security_result.summary	Zugeordnet: (?i)yes → systemcall was successful, (?i)no → systemcall was failed
summary	security_result.summary	Direkt zugeordnet
name	src.file.full_path	Direkt zugeordnet
src	src.ip	Umbenannt/zugeordnet
terminal	target.application	Direkt zugeordnet
audit_log	target.asset.attribute.labels	Zugeordnet: true → token_new
token_new	target.asset.attribute.labels	Zusammengeführt
audit_log	target.asset.attribute.permissions	Zugeordnet: true → permissions
permissions	target.asset.attribute.permissions	Zusammengeführt
target_hostname	target.asset.hostname	Direkt zugeordnet
audit_log	target.asset.ip	Zugeordnet: false → ip
ip	target.asset.ip	Zusammengeführt
full_path	target.file.full_path	Direkt zugeordnet
name	target.file.full_path	Direkt zugeordnet
path	target.file.full_path	Direkt zugeordnet
filetype	target.file.mime_type	Direkt zugeordnet
audit_log	target.group	Zugeordnet: true → principal.group
audit_log_type	target.group	Zugeordnete Werte (insgesamt 8, z.B. `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
audit_log	target.group.attribute.labels	Zugeordnete Werte (insgesamt 12, z.B. true → labels_new_gid, true → labels_NEW_GID, true →...
labels_EGID	target.group.attribute.labels	Zusammengeführt
labels_FSGID	target.group.attribute.labels	Zusammengeführt
labels_NEW_GID	target.group.attribute.labels	Zusammengeführt
labels_OBJ_GID	target.group.attribute.labels	Zusammengeführt
labels_OGID	target.group.attribute.labels	Zusammengeführt
labels_SGID	target.group.attribute.labels	Zusammengeführt
labels_egid	target.group.attribute.labels	Zusammengeführt
labels_fsgid	target.group.attribute.labels	Zusammengeführt
labels_new_gid	target.group.attribute.labels	Zusammengeführt
labels_obj_gid	target.group.attribute.labels	Zusammengeführt
labels_ogid	target.group.attribute.labels	Zusammengeführt
labels_sgid	target.group.attribute.labels	Zusammengeführt
group_display_name	target.group.group_display_name	Direkt zugeordnet
id	target.group.product_object_id	Direkt zugeordnet
product_object_id	target.group.product_object_id	Direkt zugeordnet
hostname	target.hostname	Direkt zugeordnet
target_asset_hostname	target.hostname	Direkt zugeordnet
addr	target.ip	Zusammengeführt
audit_log	target.ip	Zugeordnet: false → ip, true → addr
audit_log_type	target.ip	Zugeordnet: CRYPTO_SESSION → addr
ip	target.ip	Zusammengeführt
audit_log	target.labels	Zugeordnet: true → labels_ter, true → labels_tty, true → labels_exit, true → `labe...
labels_exit	target.labels	Zusammengeführt
labels_subj	target.labels	Zusammengeführt
labels_ter	target.labels	Zusammengeführt
labels_tty	target.labels	Zusammengeführt
audit_log	target.mac	Zugeordnet: false → mac
mac	target.mac	Zusammengeführt
lport	target.port	Direkt zugeordnet
args	target.process.command_line	Direkt zugeordnet
command_line	target.process.command_line	Direkt zugeordnet
ocomm	target.process.command_line	Direkt zugeordnet
exe	target.process.file.full_path	Direkt zugeordnet
audit_log	target.process.parent_process.pid	Zugeordnet: true → principal.process.parent_process.pid
audit_log_type	target.process.parent_process.pid	Zugeordnet: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
ppid	target.process.parent_process.pid	Direkt zugeordnet
audit_log	target.process.pid	Zugeordnet: true → principal.process.pid
audit_log_type	target.process.pid	Zugeordnet: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
opid	target.process.pid	Direkt zugeordnet
pid	target.process.pid	Direkt zugeordnet
audit_log	target.resource.attribute.labels	Zugeordnet: true → labels_mem, true → labels_vcpu, true → labels_olh, true → `labe...
block_number_label	target.resource.attribute.labels	Zusammengeführt
labels_mem	target.resource.attribute.labels	Zusammengeführt
labels_olh	target.resource.attribute.labels	Zusammengeführt
labels_oll	target.resource.attribute.labels	Zusammengeführt
labels_vcpu	target.resource.attribute.labels	Zusammengeführt
partition_id_label	target.resource.attribute.labels	Zusammengeführt
snapshot_chain_id_label	target.resource.attribute.labels	Zusammengeführt
transaction_id_label	target.resource.attribute.labels	Zusammengeführt
admin_permission_1	target.resource.attribute.permissions	Zusammengeführt
admin_permission_2	target.resource.attribute.permissions	Zusammengeführt
admin_permission_3	target.resource.attribute.permissions	Zusammengeführt
audit_log	target.resource.attribute.permissions	Zugeordnete Werte (insgesamt 9, z.B. true → admin_permission_1, true → admin_permission_2, `...
group_permission_1	target.resource.attribute.permissions	Zusammengeführt
group_permission_2	target.resource.attribute.permissions	Zusammengeführt
group_permission_3	target.resource.attribute.permissions	Zusammengeführt
others_permission_1	target.resource.attribute.permissions	Zusammengeführt
others_permission_2	target.resource.attribute.permissions	Zusammengeführt
others_permission_3	target.resource.attribute.permissions	Zusammengeführt
exe	target.resource.name	Direkt zugeordnet
new-disk	target.resource.name	Direkt zugeordnet
obj	target.resource.name	Direkt zugeordnet
params.vm_name	target.resource.name	Zugeordnet, wenn audit_log == false
vm	target.resource.name	Direkt zugeordnet
inode	target.resource.product_object_id	Direkt zugeordnet
audit_log	target.resource.resource_type	Zugeordnet: true → SETTING
audit_log_type	target.resource.resource_type	Zugeordnet: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
rest_endpoint	target.url	Zugeordnet, wenn audit_log == false
audit_log	target.user	Zugeordnet: true → principal.user
audit_log_type	target.user	Zugeordnete Werte (insgesamt 8, z.B. `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
audit_log	target.user.attribute.labels	Zugeordnete Werte (insgesamt 15, z.B. true → labels_auid, true → labels_AUID, true → `labe...
labels_AUID	target.user.attribute.labels	Zusammengeführt
labels_EUID	target.user.attribute.labels	Zusammengeführt
labels_FSUID	target.user.attribute.labels	Zusammengeführt
labels_OAUID	target.user.attribute.labels	Zusammengeführt
labels_OUID	target.user.attribute.labels	Zusammengeführt
labels_SUID	target.user.attribute.labels	Zusammengeführt
labels_auid	target.user.attribute.labels	Zusammengeführt
labels_euid	target.user.attribute.labels	Zusammengeführt
labels_fsuid	target.user.attribute.labels	Zusammengeführt
labels_id	target.user.attribute.labels	Zusammengeführt
labels_oauid	target.user.attribute.labels	Zusammengeführt
labels_obj_uid	target.user.attribute.labels	Zusammengeführt
labels_ouid	target.user.attribute.labels	Zusammengeführt
labels_sauid	target.user.attribute.labels	Zusammengeführt
labels_suid	target.user.attribute.labels	Zusammengeführt
audit_log	target.user.attribute.roles	Zugeordnet: true → obj_role, true → subj_role
obj_role	target.user.attribute.roles	Zusammengeführt
subj_role	target.user.attribute.roles	Zusammengeführt
obj_user	target.user.user_display_name	Direkt zugeordnet
user_display_name	target.user.user_display_name	Direkt zugeordnet
id	target.user.userid	Direkt zugeordnet
pam_target_user	target.user.userid	Zugeordnet, wenn message =~ pam_unix
uid	target.user.userid	Direkt zugeordnet
userid	target.user.userid	Direkt zugeordnet
–	extensions.auth.type	Konstante: MACHINE
–	metadata.event_type	Konstante: GENERIC_EVENT
–	metadata.product_name	Konstante: Nutanix_Prism
–	metadata.vendor_name	Konstante: Nutanix_Prism
–	network.application_protocol	Konstante: SSH
–	network.direction	Konstante: OUTBOUND
–	network.ip_protocol	Konstante: IP6IN4
–	principal.platform	Konstante: LINUX
–	security_result.severity	Konstante: CRITICAL
–	security_result.summary	Konstante: systemcall was successful
–	target.group	Konstante: principal.group
–	target.process.parent_process.pid	Konstante: principal.process.parent_process.pid
–	target.process.pid	Konstante: principal.process.pid
–	target.resource.resource_type	Konstante: SETTING
–	target.user	Konstante: principal.user
header_host	event.idm.read_only_udm.intermediary.hostname	Aus Änderungsprotokoll zugeordnet
application	event.idm.read_only_udm.principal.application	Aus Änderungsprotokoll zugeordnet
thread_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
line_number	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
vdisk_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
pam_module	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
pam_submodule	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
snapshot_chain_id	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
partition_id	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
block_number	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
transaction_id	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
replica_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
description	event.idm.read_only_udm.metadata.description	Aus Änderungsprotokoll zugeordnet
pam_target_user	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
pam_principal_uid	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
pam_message	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
princ_pid	event.idm.read_only_udm.principal.process.pid	Aus Änderungsprotokoll zugeordnet
affectedEntityList" and "alertUid	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
clientIp" and "params.requested_ip_address	principal.ip	Aus Änderungsprotokoll zugeordnet
originatingClusterUuid" and "sessionId	additional.fields	Aus Änderungsprotokoll zugeordnet
params.mac_address	principal.mac	Aus Änderungsprotokoll zugeordnet
logstash.ingest.host	intermediary[0].hostname	Aus Änderungsprotokoll zugeordnet
logstash.collect.host	observer.ip	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten