Raccogli i log di Nutanix Prism Central

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Nutanix Prism Central in Google Security Operations utilizzando Bindplane. Nutanix Prism Central è una piattaforma di gestione centralizzata per i cluster di infrastruttura iperconvergente Nutanix. Fornisce una visualizzazione unificata per il monitoraggio, la gestione e l'automazione delle operazioni su più cluster Nutanix, tra cui la gestione del ciclo di vita delle VM, la pianificazione della capacità e il monitoraggio della sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi alla console web Nutanix Prism Central con ruolo di amministratore o amministratore Prism.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/nutanix_prism:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: chronicle.googleapis.com
           log_type: NUTANIX_PRISM
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/nutanix_prism_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/nutanix_prism
   

• Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
• Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json con il percorso in cui è stato salvato il file della chiave del account di servizio (Opzione 1).

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/nutanix_prism:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: '<CUSTOMER_ID>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: NUTANIX_PRISM
          raw_log_field: body
          ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura l'inoltro di syslog su Nutanix Prism Central

Configura il server syslog remoto

1. Accedi alla console web Nutanix Prism Central.
2. Fai clic sull'icona a forma di ingranaggio (Impostazioni) nell'angolo in alto a destra.
3. Nel riquadro Impostazioni, scorri verso il basso e seleziona Server Syslog nella sezione Monitoraggio e logging.
4. Fai clic su + Configura server Syslog.
5. Nel campo Nome server, inserisci un nome descrittivo (ad esempio Bindplane-SecOps).
6. Nel campo Indirizzo IP, inserisci l'indirizzo IP dell'host dell'agente Bindplane.
7. Nel campo Porta, inserisci 514 (o la porta configurata).
8. Nel menu a discesa Protocollo di trasporto, seleziona UDP.
9. Fai clic su Salva.

Configura i moduli di log

1. Dopo aver aggiunto il server syslog, fai clic sulla voce del server Bindplane-SecOps.
2. Fai clic su + Add Module (+ Aggiungi modulo) per configurare i tipi di log da inoltrare.
3. Aggiungi i seguenti moduli in base ai tuoi requisiti:
   • AUDIT: acquisisce gli eventi di autenticazione degli utenti, le modifiche alla configurazione e l'attività delle API.
   • API_AUDIT: acquisisce tutte le chiamate API REST a Prism Central.
   • FLOW: acquisisce i log di flusso della microsegmentazione di rete (se Flow è abilitato).
   • MICROSEG: acquisisce gli eventi delle policy di microsegmentazione.
4. Per ogni modulo:
   1. Seleziona il modulo dal menu a discesa.
   2. Imposta Log Level (Livello di log) su INFO o sul livello che preferisci (consigliato: INFO per un logging completo).
   3. Fai clic su Salva.

Configura syslog su singoli cluster Prism Element (facoltativo)

Se hai bisogno anche dei log dei singoli cluster Prism Element:

1. Accedi alla console web Prism Element per il cluster specifico.
2. Fai clic sull'icona a forma di ingranaggio (Impostazioni).
3. Vai a Server Syslog nella sezione Monitoraggio e logging.
4. Fai clic su + Configura server Syslog.
5. Inserisci gli stessi dettagli dell'agente Bindplane:
   • Nome server: inserisci Bindplane-SecOps.
   • Indirizzo IP: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta: inserisci 514.
   • Protocollo di trasporto: seleziona UDP.
6. Fai clic su Salva.
7. Aggiungi i moduli (AUDIT, HARDWARE, STORAGE, HYPERVISOR) in base alle tue esigenze.

Per saperne di più, consulta la documentazione di Nutanix Prism Central relativa a syslog.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
audit_log	about	Mappatura: true → about
audit_log	about.labels	Valori mappati (5 in totale, ad es. true → labels_syscall, true → labels_data, true → `la…
labels_arch	about.labels	Unita
labels_data	about.labels	Unita
labels_devmajor	about.labels	Unita
labels_devminor	about.labels	Unita
labels_syscall	about.labels	Unita
audit_log	additional.fields	Mapped: false → originating_id, false → sessionId_label, false → source_file_label
creation_time_usecs_label	additional.fields	Unita
curr_range_idx_label	additional.fields	Unita
deserialization_in_progress_label	additional.fields	Unita
done_callback_set_label	additional.fields	Unita
is_arena_enabled_label	additional.fields	Unita
last_rpc_time_usecs_label	additional.fields	Unita
line_number_label	additional.fields	Unita
message	additional.fields	Mappatura: pam_unix → pam_module_label, pam_unix → pam_submodule_label
num_rpcs_before_stateful_scans_got_enabled_label	additional.fields	Unita
nutanix_scan_keys_label	additional.fields	Unita
originating_id	additional.fields	Unita
pam_module_label	additional.fields	Unita
pam_submodule_label	additional.fields	Unita
prefetch_error_label	additional.fields	Unita
prefetch_hits_label	additional.fields	Unita
prefetch_in_progress_label	additional.fields	Unita
prefetch_stopped_label	additional.fields	Unita
processed_data_size_label	additional.fields	Unita
sessionId_label	additional.fields	Unita
source_file_label	additional.fields	Unita
thread_name_label	additional.fields	Unita
total_data_read_bytes_label	additional.fields	Unita
total_deserialization_time_usecs_label	additional.fields	Unita
total_rows_read_label	additional.fields	Unita
total_rpc_time_usecs_label	additional.fields	Unita
total_rpcs_done_label	additional.fields	Unita
total_scan_time_label	additional.fields	Unita
unprocessed_data_size_label	additional.fields	Unita
use_chakrdb_backend_label	additional.fields	Unita
vblocks_label	additional.fields	Unita
vdisk_id_label	additional.fields	Unita
audit_log	extensions.auth.type	Mapped: false → AUTHTYPE_UNSPECIFIED, true → MACHINE, true → AUTHTYPE_UNSPECIFIED
audit_log_type	extensions.auth.type	Valori mappati (6 in totale, ad esempio `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN…
has_principal	extensions.auth.type	Mappatura: true → AUTHTYPE_UNSPECIFIED
audit_log	intermediary	Mappatura: false → intermediary, false → logstash1, true → intermediary
logstash1	intermediary	Unita
dvc	intermediary.hostname	Rinominato/mappato
header_host	intermediary.hostname	Mappatura diretta
logstash.ingest.host	intermediary.hostname	Mappatura diretta
defaultMsg	metadata.description	Mappato quando audit_log == false
description	metadata.description	Mappato quando api_call_message != ``
msg2	metadata.description	Mappatura diretta
logstash.collect.timestamp	metadata.event_timestamp	Analizzato come yyyy-MM-dd HH:mm:ss.SSS
logstash.ingest.timestamp	metadata.event_timestamp	Analizzato come yyyy-MM-dd HH:mm:ss.SSS
logstash.process.timestamp	metadata.event_timestamp	Analizzato come yyyy-MM-dd HH:mm:ss.SSS
metadata_ingested_timestamp	metadata.event_timestamp	Analizzato come UNIX
timestamp	metadata.event_timestamp	Analizzato come MMM d HH:mm:ss
audit_log	metadata.event_type	Valori mappati (30 in totale, ad es. false → GENERIC_EVENT, false → USER_LOGIN, false → `…
audit_log_type	metadata.event_type	Mappatura diretta
has_principal	metadata.event_type	Mapped: true → USER_LOGIN, true → STATUS_UPDATE, true → GENERIC_EVENT
has_principal_id	metadata.event_type	Mapped: false → GENERIC_EVENT, true → SETTING_MODIFICATION, true → PROCESS_LAUNCH
http_method	metadata.event_type	Mappatura: GET → USER_RESOURCE_ACCESS, POST → RESOURCE_CREATION, "PATCH","UPDATE" → `…
audit_log_type	metadata.product_event_type	Mappatura diretta
eventType	metadata.product_event_type	Mappatura diretta
operation	metadata.product_event_type	Mappato quando api_call_message != ``
operationType	metadata.product_event_type	Mappato quando audit_log == false
pam_message	metadata.product_event_type	Mappatura eseguita quando message =~ pam_unix
program	metadata.product_event_type	Mappato quando audit_log == false
entity_uuid	metadata.product_log_id	Mappato quando audit_log == false
uuid	metadata.product_log_id	Mappato quando audit_log == false
audit_log	metadata.product_name	Mappatura: true → Nutanix_Prism
api_version	metadata.product_version	Mappato quando audit_log == false
audit_log	metadata.vendor_name	Mappatura: true → Nutanix_Prism
audit_log	network.application_protocol	Mappatura: true → SSH
audit_log_type	network.application_protocol	Mappatura: CRYPTO_SESSION → SSH
audit_log	network.direction	Mappatura: true → OUTBOUND, true → INBOUND
audit_log_type	network.direction	Mappatura: CRYPTO_SESSION → OUTBOUND, CRYPTO_SESSION → INBOUND
direction	network.direction	Mappatura: from-client → OUTBOUND, from-server → INBOUND
http_method	network.http.method	Mappato quando audit_log == false
audit_log	network.ip_protocol	Valori mappati (6 in totale, ad es. false → UDP, false → TCP, true → IP6IN4)
audit_log_type	network.ip_protocol	Mappatura: CRYPTO_SESSION → TCP
audit_log	network.sent_bytes	Mappatura: true → uinteger
audit_log_type	network.sent_bytes	Mappatura: CRYPTO_SESSION → uinteger
ksize	network.sent_bytes	Mappatura diretta
ses	network.session_id	Mappatura diretta
session_id	network.session_id	Mappatura diretta
cipher	network.tls.cipher	Mappatura diretta
pfs	network.tls.curve	Mappatura diretta
agent.type	observer.application	Mappato quando audit_log == false
agent.id	observer.asset_id	Mappato quando audit_log == false
agent.type	observer.asset_id	Mappato quando audit_log == false
audit_log	observer.ip	Mappatura: false → collect_ip
collect_ip	observer.ip	Unita
agent.version	observer.platform_version	Mappato quando audit_log == false
application	principal.application	Mappato quando application != ``
comm	principal.application	Mappatura diretta
terminal	principal.application	Mappatura diretta
audit_log	principal.asset.attribute.labels	Mappatura: true → token_new
token_new	principal.asset.attribute.labels	Unita
audit_log	principal.asset.hardware	Mappatura: false → hardware
hardware	principal.asset.hardware	Unita
hostname	principal.asset.hostname	Mappato quando hostname != ``
principal_hostname	principal.asset.hostname	Mappatura diretta
syslog_host	principal.asset.hostname	Mappato quando audit_log == false
audit_log	principal.asset.ip	Mapped: false → clientIp, false → src_ip, false → ip
clientIp	principal.asset.ip	Unita
ip	principal.asset.ip	Unita
replica_ip	principal.asset.ip	Unita
src_ip	principal.asset.ip	Unita
host.id	principal.asset_id	Mappato quando audit_log == false
target.group	principal.group	Rinominato/mappato
audit_log	principal.group.attribute.labels	Mappatura: true → labels_inode_gid
labels_inode_gid	principal.group.attribute.labels	Unita
hostname	principal.hostname	Mappatura diretta
principal_asset_hostname	principal.hostname	Mappatura diretta
syslog_host	principal.hostname	Mappato quando audit_log == false
addr	principal.ip	Unita
audit_log	principal.ip	Valori mappati (6 in totale, ad es. false → clientIp, false → src_ip, false → ip)
audit_log_type	principal.ip	Mappato: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
clientIp	principal.ip	Unita
ip	principal.ip	Unita
laddr	principal.ip	Unita
replica_ip	principal.ip	Unita
src_ip	principal.ip	Unita
audit_log	principal.labels	Mappatura: false → irmsite, false → irmregion, false → irmenvironment, false → `c…
clienttype	principal.labels	Unita
irmenvironment	principal.labels	Unita
irmregion	principal.labels	Unita
irmsite	principal.labels	Unita
audit_log	principal.mac	Mappatura: false → mac, true → formatted_mac_addr
formatted_mac_addr	principal.mac	Unita
mac	principal.mac	Unita
audit_log	principal.platform	Valori mappati (5 in totale, ad es. false → LINUX, false → WINDOWS, false → MAC)
host.os.kernel	principal.platform_patch_level	Mappato quando audit_log == false
host.os.version	principal.platform_version	Mappato quando audit_log == false
rport	principal.port	Mappatura diretta
src_port	principal.port	Mappato quando audit_log == false
cgroup	principal.process.file.full_path	Mappatura diretta
process_name	principal.process.file.names	Unita
target.process.parent_process.pid	principal.process.parent_process.pid	Rinominato/mappato
princ_pid	principal.process.pid	Mappato quando audit_log == false
process_id	principal.process.pid	Mappato quando process_id != ``
spid	principal.process.pid	Mappatura diretta
target.process.pid	principal.process.pid	Rinominato/mappato
target.user	principal.user	Rinominato/mappato
audit_log	principal.user.attribute.labels	Mappatura: true → labels_inode_uid
labels_inode_uid	principal.user.attribute.labels	Unita
acct	principal.user.user_display_name	Mappatura diretta
userName	principal.user.user_display_name	Mappato quando audit_log == false
user_id	principal.user.user_display_name	Mappato quando audit_log == false
pam_principal_uid	principal.user.userid	Mappatura eseguita quando message =~ pam_unix
suid	principal.user.userid	Mappatura diretta
uid	principal.user.userid	Mappatura diretta
user_id	principal.user.userid	Mappato quando audit_log == false
audit_log	security_result	Mappatura: false → security_result, true → security_result
audit_log	security_result.about.labels	Mappatura: true → labels_list
labels_list	security_result.about.labels	Unita
action	security_result.action	Unita
audit_log	security_result.action	Mappatura: true → security_action, true → action
audit_log_type	security_result.action	Mappato: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
res	security_result.action	Mappatura: success → security_action
security_action	security_result.action	Unita
res	security_result.action_details	Mappatura diretta
alertuid	security_result.detection_fields	Unita
audit_log	security_result.detection_fields	Valori mappati (7 in totale, ad es. false → entity_type, false → entity_name, false → `en…
detection_fields_key	security_result.detection_fields	Unita
entity_name	security_result.detection_fields	Unita
entity_type	security_result.detection_fields	Unita
entity_uuid	security_result.detection_fields	Unita
labels_saddr	security_result.detection_fields	Unita
labels_sig	security_result.detection_fields	Unita
audit_log	security_result.severity	Valori mappati (5 in totale, ad es. false → CRITICAL, false → ERROR, false → HIGH)
log_level	security_result.severity	Mapped: "EMERGENCY","ALERT","CRITICAL" → CRITICAL, WARNING → HIGH, NOTICE → `MEDIU…
audit_log	security_result.summary	Mappatura: true → systemcall was successful, true → systemcall was failed
op	security_result.summary	Mappatura diretta
reason	security_result.summary	Mappatura diretta
res	security_result.summary	Mappatura diretta
success	security_result.summary	Mappatura: (?i)yes → systemcall was successful, (?i)no → systemcall was failed
summary	security_result.summary	Mappatura diretta
name	src.file.full_path	Mappatura diretta
src	src.ip	Rinominato/mappato
terminal	target.application	Mappatura diretta
audit_log	target.asset.attribute.labels	Mappatura: true → token_new
token_new	target.asset.attribute.labels	Unita
audit_log	target.asset.attribute.permissions	Mappatura: true → permissions
permissions	target.asset.attribute.permissions	Unita
target_hostname	target.asset.hostname	Mappatura diretta
audit_log	target.asset.ip	Mappatura: false → ip
ip	target.asset.ip	Unita
full_path	target.file.full_path	Mappatura diretta
name	target.file.full_path	Mappatura diretta
path	target.file.full_path	Mappatura diretta
filetype	target.file.mime_type	Mappatura diretta
audit_log	target.group	Mappatura: true → principal.group
audit_log_type	target.group	Valori mappati (8 in totale, ad es. `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN…
audit_log	target.group.attribute.labels	Valori mappati (12 in totale, ad es. true → labels_new_gid, true → labels_NEW_GID, true →…
labels_EGID	target.group.attribute.labels	Unita
labels_FSGID	target.group.attribute.labels	Unita
labels_NEW_GID	target.group.attribute.labels	Unita
labels_OBJ_GID	target.group.attribute.labels	Unita
labels_OGID	target.group.attribute.labels	Unita
labels_SGID	target.group.attribute.labels	Unita
labels_egid	target.group.attribute.labels	Unita
labels_fsgid	target.group.attribute.labels	Unita
labels_new_gid	target.group.attribute.labels	Unita
labels_obj_gid	target.group.attribute.labels	Unita
labels_ogid	target.group.attribute.labels	Unita
labels_sgid	target.group.attribute.labels	Unita
group_display_name	target.group.group_display_name	Mappatura diretta
id	target.group.product_object_id	Mappatura diretta
product_object_id	target.group.product_object_id	Mappatura diretta
hostname	target.hostname	Mappatura diretta
target_asset_hostname	target.hostname	Mappatura diretta
addr	target.ip	Unita
audit_log	target.ip	Mappatura: false → ip, true → addr
audit_log_type	target.ip	Mappatura: CRYPTO_SESSION → addr
ip	target.ip	Unita
audit_log	target.labels	Mapped: true → labels_ter, true → labels_tty, true → labels_exit, true → `labe…
labels_exit	target.labels	Unita
labels_subj	target.labels	Unita
labels_ter	target.labels	Unita
labels_tty	target.labels	Unita
audit_log	target.mac	Mappatura: false → mac
mac	target.mac	Unita
lport	target.port	Mappatura diretta
args	target.process.command_line	Mappatura diretta
command_line	target.process.command_line	Mappatura diretta
ocomm	target.process.command_line	Mappatura diretta
exe	target.process.file.full_path	Mappatura diretta
audit_log	target.process.parent_process.pid	Mappatura: true → principal.process.parent_process.pid
audit_log_type	target.process.parent_process.pid	Mappato: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
ppid	target.process.parent_process.pid	Mappatura diretta
audit_log	target.process.pid	Mappatura: true → principal.process.pid
audit_log_type	target.process.pid	Mappato: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
opid	target.process.pid	Mappatura diretta
pid	target.process.pid	Mappatura diretta
audit_log	target.resource.attribute.labels	Mapped: true → labels_mem, true → labels_vcpu, true → labels_olh, true → `labe…
block_number_label	target.resource.attribute.labels	Unita
labels_mem	target.resource.attribute.labels	Unita
labels_olh	target.resource.attribute.labels	Unita
labels_oll	target.resource.attribute.labels	Unita
labels_vcpu	target.resource.attribute.labels	Unita
partition_id_label	target.resource.attribute.labels	Unita
snapshot_chain_id_label	target.resource.attribute.labels	Unita
transaction_id_label	target.resource.attribute.labels	Unita
admin_permission_1	target.resource.attribute.permissions	Unita
admin_permission_2	target.resource.attribute.permissions	Unita
admin_permission_3	target.resource.attribute.permissions	Unita
audit_log	target.resource.attribute.permissions	Valori mappati (9 in totale, ad es. true → admin_permission_1, true → admin_permission_2, `…
group_permission_1	target.resource.attribute.permissions	Unita
group_permission_2	target.resource.attribute.permissions	Unita
group_permission_3	target.resource.attribute.permissions	Unita
others_permission_1	target.resource.attribute.permissions	Unita
others_permission_2	target.resource.attribute.permissions	Unita
others_permission_3	target.resource.attribute.permissions	Unita
exe	target.resource.name	Mappatura diretta
new-disk	target.resource.name	Mappatura diretta
obj	target.resource.name	Mappatura diretta
params.vm_name	target.resource.name	Mappato quando audit_log == false
vm	target.resource.name	Mappatura diretta
inode	target.resource.product_object_id	Mappatura diretta
audit_log	target.resource.resource_type	Mappatura: true → SETTING
audit_log_type	target.resource.resource_type	Mappato: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
rest_endpoint	target.url	Mappato quando audit_log == false
audit_log	target.user	Mappatura: true → principal.user
audit_log_type	target.user	Valori mappati (8 in totale, ad es. `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN…
audit_log	target.user.attribute.labels	Valori mappati (15 in totale, ad es. true → labels_auid, true → labels_AUID, true → `labe…
labels_AUID	target.user.attribute.labels	Unita
labels_EUID	target.user.attribute.labels	Unita
labels_FSUID	target.user.attribute.labels	Unita
labels_OAUID	target.user.attribute.labels	Unita
labels_OUID	target.user.attribute.labels	Unita
labels_SUID	target.user.attribute.labels	Unita
labels_auid	target.user.attribute.labels	Unita
labels_euid	target.user.attribute.labels	Unita
labels_fsuid	target.user.attribute.labels	Unita
labels_id	target.user.attribute.labels	Unita
labels_oauid	target.user.attribute.labels	Unita
labels_obj_uid	target.user.attribute.labels	Unita
labels_ouid	target.user.attribute.labels	Unita
labels_sauid	target.user.attribute.labels	Unita
labels_suid	target.user.attribute.labels	Unita
audit_log	target.user.attribute.roles	Mappatura: true → obj_role, true → subj_role
obj_role	target.user.attribute.roles	Unita
subj_role	target.user.attribute.roles	Unita
obj_user	target.user.user_display_name	Mappatura diretta
user_display_name	target.user.user_display_name	Mappatura diretta
id	target.user.userid	Mappatura diretta
pam_target_user	target.user.userid	Mappatura eseguita quando message =~ pam_unix
uid	target.user.userid	Mappatura diretta
userid	target.user.userid	Mappatura diretta
N/D	extensions.auth.type	Costante: MACHINE
N/D	metadata.event_type	Costante: GENERIC_EVENT
N/D	metadata.product_name	Costante: Nutanix_Prism
N/D	metadata.vendor_name	Costante: Nutanix_Prism
N/D	network.application_protocol	Costante: SSH
N/D	network.direction	Costante: OUTBOUND
N/D	network.ip_protocol	Costante: IP6IN4
N/D	principal.platform	Costante: LINUX
N/D	security_result.severity	Costante: CRITICAL
N/D	security_result.summary	Costante: systemcall was successful
N/D	target.group	Costante: principal.group
N/D	target.process.parent_process.pid	Costante: principal.process.parent_process.pid
N/D	target.process.pid	Costante: principal.process.pid
N/D	target.resource.resource_type	Costante: SETTING
N/D	target.user	Costante: principal.user
header_host	event.idm.read_only_udm.intermediary.hostname	Mappato dal log delle modifiche
application	event.idm.read_only_udm.principal.application	Mappato dal log delle modifiche
thread_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
line_number	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vdisk_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
pam_module	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
pam_submodule	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
snapshot_chain_id	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
partition_id	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
block_number	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
transaction_id	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
replica_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
description	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
pam_target_user	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
pam_principal_uid	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
pam_message	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
princ_pid	event.idm.read_only_udm.principal.process.pid	Mappato dal log delle modifiche
affectedEntityList" and "alertUid	security_result.detection_fields	Mappato dal log delle modifiche
clientIp" and "params.requested_ip_address	principal.ip	Mappato dal log delle modifiche
originatingClusterUuid" and "sessionId	additional.fields	Mappato dal log delle modifiche
params.mac_address	principal.mac	Mappato dal log delle modifiche
logstash.ingest.host	intermediary[0].hostname	Mappato dal log delle modifiche
logstash.collect.host	observer.ip	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.