Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Oracle Cloud Infrastructure-Audit-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Oracle Cloud Infrastructure-Audit-Logs mit Google Cloud Storage in Google Security Operations aufnehmen.

Der Oracle Cloud Infrastructure Audit-Dienst zeichnet automatisch Aufrufe aller unterstützten öffentlichen API-Endpunkte von Oracle Cloud Infrastructure als Logereignisse auf. Derzeit unterstützen alle Dienste die Protokollierung durch Oracle Cloud Infrastructure Audit. Zu den von Oracle Cloud Infrastructure Audit aufgezeichneten Logereignissen gehören API-Aufrufe, die von der Oracle Cloud Infrastructure Console, der Befehlszeile (CLI), Software Development Kits (SDK), Ihren eigenen benutzerdefinierten Clients oder anderen Oracle Cloud Infrastructure-Diensten ausgeführt werden.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

Eine Google SecOps-Instanz
Ein GCP-Projekt mit aktivierter Cloud Storage API
Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
Berechtigungen zum Erstellen von Cloud Run-Diensten, Pub/Sub-Themen und Cloud Scheduler-Jobs
Oracle Cloud-Infrastrukturkonto mit Berechtigungen zum Erstellen und Verwalten von:
- Service Connector Hub
- Funktionen
- Objektspeicher-Buckets
- IAM-Richtlinien
Berechtigter Zugriff auf die Oracle Cloud Infrastructure Console

Google Cloud Storage-Bucket erstellen

Gehen Sie zur Google Cloud Console.
Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
Klicken Sie auf Bucket erstellen.

Geben Sie die folgenden Konfigurationsdetails an:

Einstellung	Wert
Bucket benennen	Geben Sie einen global eindeutigen Namen ein, z. B. `oci-audit-logs-gcs`.
Standorttyp	Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
Standort	Wählen Sie den Standort aus (z. B. `us-central1`).
Speicherklasse	Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
Zugriffskontrolle	Einheitlich (empfohlen)
Schutztools	Optional: Objektversionierung oder Aufbewahrungsrichtlinie aktivieren

Klicken Sie auf Erstellen.

Oracle Cloud Infrastructure für den Export von Audit-Logs nach GCS konfigurieren

Oracle Cloud Infrastructure unterstützt keinen nativen Export nach Google Cloud Storage. Sie verwenden den Oracle Cloud Infrastructure Service Connector Hub mit einer Funktion, um Audit-Logs an GCS weiterzuleiten.

Oracle Cloud Infrastructure-Funktion zum Weiterleiten von Logs an GCS erstellen

Melden Sie sich in der Oracle Cloud Console an.
Gehen Sie zu Entwicklerdienste > Funktionen > Anwendungen.
Wählen Sie das Compartment aus, in dem Sie die Funktionsanwendung erstellen möchten.
Klicken Sie auf Anwendung erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Geben Sie audit-logs-to-gcs-app ein.
- VCN: Wählen Sie ein Virtual Cloud Network aus.
- Subnetze: Wählen Sie ein Subnetz mit Internetzugriff aus.
Klicken Sie auf Erstellen.
Klicken Sie nach dem Erstellen der Anwendung auf Erste Schritte und folgen Sie der Anleitung, um Ihre lokale Entwicklungsumgebung mit der Fn CLI einzurichten.
Erstellen Sie auf Ihrem lokalen Computer ein neues Funktionsverzeichnis:
```
mkdir oci-audit-to-gcs
cd oci-audit-to-gcs
```

Initialisieren Sie eine Python-Funktion:

fn init --runtime python oci-audit-to-gcs
cd oci-audit-to-gcs

Ersetzen Sie den Inhalt von func.py durch den folgenden Code:

import io
import json
import logging
import os
from fdk import response
from google.cloud import storage
from google.oauth2 import service_account
from datetime import datetime

# Configure logging
logging.basicConfig(level=logging.INFO)
logger = logging.getLogger()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'oci-audit-logs')
GCS_CREDENTIALS_JSON = os.environ.get('GCS_CREDENTIALS_JSON')

def handler(ctx, data: io.BytesIO = None):
    """
    Oracle Cloud Infrastructure Function to forward Audit logs to GCS.

    Args:
        ctx: Function context
        data: Input data containing Audit log events
    """

    if not all([GCS_BUCKET, GCS_CREDENTIALS_JSON]):
        logger.error('Missing required environment variables: GCS_BUCKET or GCS_CREDENTIALS_JSON')
        return response.Response(
            ctx, response_data=json.dumps({"error": "Missing configuration"}),
            headers={"Content-Type": "application/json"}
        )

    try:
        # Parse input data
        body = json.loads(data.getvalue())
        logger.info(f"Received event: {json.dumps(body)}")

        # Extract log entries
        log_entries = []
        if isinstance(body, list):
            log_entries = body
        elif isinstance(body, dict):
            # Service Connector Hub sends data in specific format
            if 'data' in body:
                log_entries = [body['data']] if isinstance(body['data'], dict) else body['data']
            else:
                log_entries = [body]

        if not log_entries:
            logger.info("No log entries to process")
            return response.Response(
                ctx, response_data=json.dumps({"status": "no_logs"}),
                headers={"Content-Type": "application/json"}
            )

        # Initialize GCS client with service account credentials
        credentials_dict = json.loads(GCS_CREDENTIALS_JSON)
        credentials = service_account.Credentials.from_service_account_info(credentials_dict)
        storage_client = storage.Client(credentials=credentials, project=credentials_dict.get('project_id'))
        bucket = storage_client.bucket(GCS_BUCKET)

        # Write logs to GCS as NDJSON
        timestamp = datetime.utcnow().strftime('%Y%m%d_%H%M%S_%f')
        object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join([json.dumps(entry, ensure_ascii=False) for entry in log_entries]) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        logger.info(f"Wrote {len(log_entries)} records to gs://{GCS_BUCKET}/{object_key}")

        return response.Response(
            ctx, response_data=json.dumps({"status": "success", "records": len(log_entries)}),
            headers={"Content-Type": "application/json"}
        )

    except Exception as e:
        logger.error(f'Error processing logs: {str(e)}')
        return response.Response(
            ctx, response_data=json.dumps({"error": str(e)}),
            headers={"Content-Type": "application/json"},
            status_code=500
        )

Aktualisieren Sie requirements.txt mit den folgenden Abhängigkeiten:
```
fdk>=0.1.0
google-cloud-storage>=2.0.0
google-auth>=2.0.0
```
Stellen Sie die Funktion in Oracle Cloud Infrastructure bereit:
```
fn -v deploy --app audit-logs-to-gcs-app
```
Notieren Sie sich nach Abschluss der Bereitstellung die OCID der Funktion. Sie verwenden es in der nächsten Aufgabe.

Funktionsumgebungsvariablen konfigurieren

Rufen Sie in der Oracle Cloud Console Developer Services > Functions > Applications auf.
Klicken Sie auf die Anwendung audit-logs-to-gcs-app.
Klicken Sie auf den Funktionsnamen (oci-audit-to-gcs).
Klicken Sie auf Konfiguration.

Fügen Sie die folgenden Konfigurationsvariablen hinzu:

Schlüssel	Wert
`GCS_BUCKET`	Der Name Ihres GCS-Buckets (z. B. `oci-audit-logs-gcs`)
`GCS_PREFIX`	Präfix für Logdateien (z. B. `oci-audit-logs`)
`GCS_CREDENTIALS_JSON`	JSON-String des GCP-Dienstkontoschlüssels (siehe unten)

Klicken Sie auf Änderungen speichern.

Google Cloud-Dienstkonto für Oracle Cloud Infrastructure-Funktion erstellen

Die Oracle Cloud Infrastructure-Funktion benötigt ein GCP-Dienstkonto, um in den GCS-Bucket zu schreiben.

Rufen Sie in der GCP Console die Seite IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Dienstkontoname: Geben Sie oci-function-gcs-writer ein.
- Beschreibung des Dienstkontos: Geben Sie Service account for OCI Function to write Audit logs to GCS ein.
Klicken Sie auf Erstellen und fortfahren.
Fügen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen die folgende Rolle hinzu:
1. Klicken Sie auf Rolle auswählen.
2. Suchen Sie nach Storage Object Admin und wählen Sie die Rolle aus.
Klicken Sie auf Weiter.
Klicken Sie auf Fertig.
Klicken Sie auf die E-Mail-Adresse des neu erstellten Dienstkontos.
Rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON als Schlüsseltyp aus.
Klicken Sie auf Erstellen.
Die JSON-Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Öffnen Sie die JSON-Schlüsseldatei und kopieren Sie ihren gesamten Inhalt.
Kehren Sie zur Funktionskonfiguration der Oracle Cloud Console zurück.
Fügen Sie den JSON-Inhalt in die Konfigurationsvariable GCS_CREDENTIALS_JSON ein.

Hinweis: Bewahren Sie den Dienstkontoschlüssel sicher auf. Jeder mit Zugriff auf diesen Schlüssel kann in Ihren GCS-Bucket schreiben.

IAM-Berechtigungen für GCS-Bucket gewähren

Gewähren Sie dem Dienstkonto Schreibberechtigungen für den GCS-Bucket:

Rufen Sie Cloud Storage > Buckets auf.
Klicken Sie auf den Namen Ihres Buckets (oci-audit-logs-gcs).
Wechseln Sie zum Tab Berechtigungen.
Klicken Sie auf Zugriff erlauben.
Geben Sie die folgenden Konfigurationsdetails an:
- Hauptkonten hinzufügen: Geben Sie die E‑Mail-Adresse des Dienstkontos (oci-function-gcs-writer@PROJECT_ID.iam.gserviceaccount.com) ein.
- Rollen zuweisen: Wählen Sie Storage Object Admin aus.
Klicken Sie auf Speichern.

Oracle Cloud Infrastructure Service Connector Hub erstellen

Melden Sie sich in der Oracle Cloud Console an.
Rufen Sie Observability & Management > Logging > Service Connector Hub auf.
Wählen Sie das Compartment aus, in dem Sie den Dienst-Connector erstellen möchten.
Klicken Sie auf Service Connector erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Informationen zum Service Connector:
Einstellung Wert

Connector-Name audit-logs-to-gcs-connector eingeben

Beschreibung Forward OCI Audit logs to Google Cloud Storage eingeben

Ressourcenfach Fach auswählen
- Quelle konfigurieren:
Einstellung Wert

Quelle Wählen Sie Logging aus.

Fach Wählen Sie das Compartment mit den Audit-Logs aus.

Loggruppe Wählen Sie _Audit (Standard-Loggruppe für Audit-Logs) aus.
Klicke auf + Weiteres Log.

Einstellung	Wert
Connector-Name	`audit-logs-to-gcs-connector` eingeben
Beschreibung	`Forward OCI Audit logs to Google Cloud Storage` eingeben
Ressourcenfach	Fach auswählen

Einstellung	Wert
Quelle	Wählen Sie Logging aus.
Fach	Wählen Sie das Compartment mit den Audit-Logs aus.
Loggruppe	Wählen Sie _Audit (Standard-Loggruppe für Audit-Logs) aus.

Wählen Sie das Audit-Log für Ihr Compartment aus (z. B. _Audit_Include_Subcompartment).

Ziel konfigurieren:

Einstellung	Wert
Ziel-	Wählen Sie Funktionen aus.
Funktionsbereich	Wählen Sie das Compartment aus, das die Funktion enthält.
Funktionsanwendung	`audit-logs-to-gcs-app` auswählen
Funktion	`oci-audit-to-gcs` auswählen

Scrollen Sie zu Aufgabe konfigurieren (optional) und behalten Sie die Standardeinstellungen bei.
Klicken Sie auf Erstellen.

IAM-Richtlinie für Service Connector Hub erstellen

Der Service Connector Hub benötigt Berechtigungen, um die Funktion aufzurufen.

Rufen Sie in der Oracle Cloud Console Identity & Security> Policies auf.
Wählen Sie das Compartment aus, in dem Sie den Service Connector Hub erstellt haben.
Klicken Sie auf Richtlinie erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name: Geben Sie service-connector-functions-policy ein.
- Beschreibung: Geben Sie Allow Service Connector Hub to invoke Functions ein.
- Spezifikation: Wählen Sie die Spezifikation aus.
Aktivieren Sie im Bereich Richtlinienerstellung die Option Manuellen Editor anzeigen.

Geben Sie die folgenden Richtlinien an:

Allow any-user to use fn-function in compartment <compartment-name> where all {request.principal.type='serviceconnector'}
Allow any-user to use fn-invocation in compartment <compartment-name> where all {request.principal.type='serviceconnector'}

Ersetzen Sie <compartment-name> durch den Namen Ihres Compartments.

Klicken Sie auf Erstellen.

Integration testen

Melden Sie sich in der Oracle Cloud Console an.
Führen Sie einige Aktionen aus, die Audit-Logs generieren (z. B. Erstellen oder Ändern einer Ressource).
Warten Sie zwei bis fünf Minuten, bis die Logs verarbeitet wurden.
Rufen Sie in der GCP Console Cloud Storage > Buckets auf.
Klicken Sie auf den Namen Ihres Buckets (oci-audit-logs-gcs).
Rufen Sie den Präfixordner (oci-audit-logs/) auf.
Prüfen Sie, ob neue .ndjson-Dateien im Bucket angezeigt werden.

Hinweis :Jede Logdatei wird mit einem Zeitstempel im Format logs_YYYYMMDD_HHMMSS_microseconds.ndjson benannt.

Google SecOps-Dienstkonto abrufen

Google SecOps verwendet ein eindeutiges Dienstkonto, um Daten aus Ihrem GCS-Bucket zu lesen. Sie müssen diesem Dienstkonto Zugriff auf Ihren Bucket gewähren.

E‑Mail-Adresse des Dienstkontos abrufen

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf Einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Oracle Cloud Audit Logs.
Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
Wählen Sie Oracle Cloud Infrastructure-Audit-Logs als Logtyp aus.
Klicken Sie auf Dienstkonto abrufen. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
Kopieren Sie diese E-Mail-Adresse, um sie im nächsten Schritt zu verwenden.

Hinweis: Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderer Dokumentation oder Beispielen.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage-Objekt-Betrachter für Ihren GCS-Bucket.

Rufen Sie Cloud Storage > Buckets auf.
Klicken Sie auf den Namen Ihres Buckets (oci-audit-logs-gcs).
Wechseln Sie zum Tab Berechtigungen.
Klicken Sie auf Zugriff erlauben.
Geben Sie die folgenden Konfigurationsdetails an:
- Hauptkonten hinzufügen: Fügen Sie die E-Mail-Adresse des Google SecOps-Dienstkontos ein.
- Rollen zuweisen: Wählen Sie Storage Object Viewer aus.
Klicken Sie auf Speichern.

Hinweis: Wenn Sie die Löschoption „Übertragene Dateien löschen“ oder „Übertragene Dateien und leere Verzeichnisse löschen“ verwenden möchten, weisen Sie die Rolle Storage-Objekt-Administrator anstelle von Storage-Objekt-Betrachter zu.

Feed in Google SecOps konfigurieren, um Oracle Cloud Infrastructure-Audit-Logs aufzunehmen

Rufen Sie die SIEM-Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf Einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Oracle Cloud Audit Logs.
Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
Wählen Sie Oracle Cloud Infrastructure-Audit-Logs als Logtyp aus.
Klicken Sie auf Weiter.
Geben Sie Werte für die folgenden Eingabeparameter an:
- Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:
```
gs://oci-audit-logs-gcs/oci-audit-logs/
```
  - Ersetzen Sie:
    - oci-audit-logs-gcs: Der Name Ihres GCS-Buckets.
    - oci-audit-logs: Optionaler Präfix-/Ordnerpfad, in dem Logs gespeichert werden (leer lassen für Stammverzeichnis).
  - Beispiele:
    - Root-Bucket: gs://company-logs/
    - Mit Präfix: gs://company-logs/oci-audit-logs/
    - Mit Unterordner: gs://company-logs/oracle/audit/
  Hinweis: Fügen Sie immer den abschließenden Schrägstrich (/) am Ende des URI ein.
- Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:
  - Nie: Nach Übertragungen werden keine Dateien gelöscht (für Tests empfohlen).
  - Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.
  - Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.
Hinweis: Wenn Sie eine Löschoption auswählen, muss das Dienstkonto die Rolle Storage-Objekt-Administrator anstelle von Storage-Objekt-Betrachter haben. Aktualisieren Sie die IAM-Berechtigungen entsprechend.
- Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
- Asset-Namespace: Der Asset-Namespace.
- Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
Klicken Sie auf Weiter.
Prüfen Sie die neue Nachrichten-Feed-Konfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`accept_encoding_field`	`additional.fields`	Zusammengeführt
`accept_field`	`additional.fields`	Zusammengeführt
`additional_app`	`additional.fields`	Zusammengeführt
`additional_content_type`	`additional.fields`	Zusammengeführt
`additional_sort_by`	`additional.fields`	Zusammengeführt
`additionaldetails_data`	`additional.fields`	Zusammengeführt
`allow_methods_field`	`additional.fields`	Zusammengeführt
`auth_type_label`	`additional.fields`	Zusammengeführt
`authorization_field`	`additional.fields`	Zusammengeführt
`backend_connect_time_field`	`additional.fields`	Zusammengeführt
`backend_processing_time_field`	`additional.fields`	Zusammengeführt
`caller_id_label`	`additional.fields`	Zusammengeführt
`caller_name_label`	`additional.fields`	Zusammengeführt
`cloud_event_versiom_field`	`additional.fields`	Zusammengeführt
`compartment_id_field`	`additional.fields`	Zusammengeführt
`compartment_name_field`	`additional.fields`	Zusammengeführt
`connection_field`	`additional.fields`	Zusammengeführt
`content_length_field`	`additional.fields`	Zusammengeführt
`content_type_field`	`additional.fields`	Zusammengeführt
`event_grouping_id_field`	`additional.fields`	Zusammengeführt
`event_name_label`	`additional.fields`	Zusammengeführt
`event_resource_label`	`additional.fields`	Zusammengeführt
`event_source_label`	`additional.fields`	Zusammengeführt
`event_type_label`	`additional.fields`	Zusammengeführt
`event_type_versiom_field`	`additional.fields`	Zusammengeführt
`has_compariment_id`	`additional.fields`	Zugeordnet: `true` → `additional_app`
`has_sort_by`	`additional.fields`	Zugeordnet: `true` → `additional_sort_by`
`listener_name_field`	`additional.fields`	Zusammengeführt
`log_group_id_field`	`additional.fields`	Zusammengeführt
`log_id_field`	`additional.fields`	Zusammengeführt
`message`	`additional.fields`	Zugeordnete Werte (insgesamt 41, z.B. `\/` → `tenant_id_label`, `\/` → `auth_type_label`, `\/` → `ca... )
`opc_request_id_field`	`additional.fields`	Zusammengeführt
`origin_field`	`additional.fields`	Zusammengeführt
`param0_field`	`additional.fields`	Zusammengeführt
`param1_field`	`additional.fields`	Zusammengeführt
`referer_field`	`additional.fields`	Zusammengeführt
`request_processing_time_field`	`additional.fields`	Zusammengeführt
`resource_id_field`	`additional.fields`	Zusammengeführt
`routing_rules_engine_errors_field`	`additional.fields`	Zusammengeführt
`routing_rules_matched_rule_field`	`additional.fields`	Zusammengeführt
`routing_rules_rule_hits_field`	`additional.fields`	Zusammengeführt
`routing_rules_rule_misses_field`	`additional.fields`	Zusammengeführt
`source_field`	`additional.fields`	Zusammengeführt
`tenant_id_label`	`additional.fields`	Zusammengeführt
`column3`	`extensions.auth.type`	Zugeordnet: `login successful` → `AUTHTYPE_UNSPECIFIED`
`message`	`extensions.auth.type`	Zugeordnet: `\/` → `AUTHTYPE_UNSPECIFIED`
`column3`	`metadata.description`	Direkt zugeordnet
`data.message`	`metadata.description`	Direkt zugeordnet
`column1`	`metadata.event_timestamp`	Geparst als `yyyy-MM-dd HH:mm:ss`
`data_event_time`	`metadata.event_timestamp`	Als `yyyy-MM-ddTHH:mm:ss.SSSSSSZ` geparst
`time`	`metadata.event_timestamp`	Als `ISO8601` geparst
`metadata_event_type`	`metadata.event_type`	Direkt zugeordnet
`type`	`metadata.product_event_type`	Direkt zugeordnet
`data_event_id`	`metadata.product_log_id`	Direkt zugeordnet
`id`	`metadata.product_log_id`	Direkt zugeordnet
`message`	`metadata.product_name`	Zugeordnet: `\/` → `OCI_AUDIT`
`specversion`	`metadata.product_version`	Direkt zugeordnet
`message`	`metadata.vendor_name`	Zugeordnet: `\/` → `Oracle`
`message`	`network.application_protocol`	Zugeordnet: `\/` → `HTTPS`, `\/` → `HTTP`
`protocol`	`network.application_protocol`	Zugeordnet: `(?i)HTTPS` → `HTTPS`, `(?i)HTTP` → `HTTP`
`version`	`network.application_protocol_version`	Direkt zugeordnet
`data_request_action`	`network.http.method`	Direkt zugeordnet
`method`	`network.http.method`	Direkt zugeordnet
`data_identity_userAgent`	`network.http.parsed_user_agent`	Umbenannt/zugeordnet
`data_request_agent`	`network.http.parsed_user_agent`	Umbenannt/zugeordnet
`url`	`network.http.referral_url`	Direkt zugeordnet
`data.backendStatusCode`	`network.http.response_code`	Direkt zugeordnet
`data_response_status`	`network.http.response_code`	Umbenannt/zugeordnet
`data.userAgent`	`network.http.user_agent`	Direkt zugeordnet
`data_identity_userAgent`	`network.http.user_agent`	Direkt zugeordnet
`data_request_agent`	`network.http.user_agent`	Direkt zugeordnet
`data.receivedBytes`	`network.received_bytes`	Direkt zugeordnet
`message`	`network.received_bytes`	Zugeordnet: `\/` → `uinteger`
`data.sentBytes`	`network.sent_bytes`	Direkt zugeordnet
`message`	`network.sent_bytes`	Zugeordnet: `\/` → `uinteger`
`data_identity_consoleSessionId`	`network.session_id`	Umbenannt/zugeordnet
`data.sslCipher`	`network.tls.cipher`	Direkt zugeordnet
`data.sslProtocol`	`network.tls.version`	Direkt zugeordnet
`data.host`	`principal.asset.hostname`	Direkt zugeordnet
`hostname`	`principal.asset.hostname`	Direkt zugeordnet
`column6`	`principal.asset.ip`	Zusammengeführt
`data.forwardedForAddr`	`principal.asset.ip`	Zusammengeführt
`data_identity_ipAddress`	`principal.asset.ip`	Zugeordnet: `^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$` → `data_identity_ipAddress`
`data_request_origin`	`principal.asset.ip`	Zusammengeführt
`ip1`	`principal.asset.ip`	Zusammengeführt
`ip2`	`principal.asset.ip`	Zusammengeführt
`message`	`principal.asset.ip`	Zugeordnete Werte (insgesamt 7, z.B. `\/` → `column6`, `\/` → `data_request_origin`, `\/` → `ip2`)
`src_ip`	`principal.asset.ip`	Zusammengeführt
`data.host`	`principal.hostname`	Direkt zugeordnet
`hostname`	`principal.hostname`	Direkt zugeordnet
`column6`	`principal.ip`	Zusammengeführt
`data.forwardedForAddr`	`principal.ip`	Zusammengeführt
`data_identity_ipAddress`	`principal.ip`	Zugeordnet: `^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$` → `data_identity_ipAddress`
`data_request_origin`	`principal.ip`	Zusammengeführt
`ip1`	`principal.ip`	Zusammengeführt
`ip2`	`principal.ip`	Zusammengeführt
`message`	`principal.ip`	Zugeordnete Werte (insgesamt 7, z.B. `\/` → `column6`, `\/` → `data_request_origin`, `\/` → `ip2`)
`src_ip`	`principal.ip`	Zusammengeführt
`data_request_headers_sec-ch-ua-platform_0`	`principal.platform`	Zugeordnet: `(?i)Linux` → `LINUX`, `(?i)windows` → `WINDOWS`, `(?i)mac/ios` → `MAC`
`message`	`principal.platform`	Zugeordnet: `\/` → `LINUX`, `\/` → `WINDOWS`, `\/` → `MAC`
`originalConnection.sourcePort`	`principal.port`	Direkt zugeordnet
`src_port`	`principal.port`	Direkt zugeordnet
`data_request_headers_oci-original-url_0`	`principal.url`	Direkt zugeordnet
`credentials_label`	`principal.user.attribute.labels`	Zusammengeführt
`message`	`principal.user.attribute.labels`	Zugeordnet: `\/` → `credentials_label`
`data.identity.principalName`	`principal.user.user_display_name`	Direkt zugeordnet
`data.username`	`principal.user.user_display_name`	Direkt zugeordnet
`data.identity.principalId`	`principal.user.userid`	Direkt zugeordnet
`data.principalId`	`principal.user.userid`	Direkt zugeordnet
`column3`	`security_result`	Zugeordnet: `login successful` → `security_result`
`message`	`security_result`	Zugeordnet: `\/` → `security_result`
`allow_action`	`security_result.action`	Zusammengeführt
`column3`	`security_result.action`	Zugeordnet: `login successful` → `allow_action`
`message`	`security_result.action`	Zugeordnet: `\/` → `allow_action`
`credential_type_field`	`security_result.detection_fields`	Zusammengeführt
`message`	`security_result.detection_fields`	Zugeordnet: `\/` → `credential_type_field`
`data.response.message`	`security_result.summary`	Direkt zugeordnet
`message`	`target.asset.ip`	Zugeordnet: `\/` → `originalConnection.destinationIp`, `\/` → `tar_ip`
`originalConnection.destinationIp`	`target.asset.ip`	Zusammengeführt
`tar_ip`	`target.asset.ip`	Zusammengeführt
`message`	`target.ip`	Zugeordnet: `\/` → `originalConnection.destinationIp`, `\/` → `tar_ip`
`originalConnection.destinationIp`	`target.ip`	Zusammengeführt
`tar_ip`	`target.ip`	Zusammengeführt
`originalConnection.destinationPort`	`target.port`	Direkt zugeordnet
`tar_port`	`target.port`	Direkt zugeordnet
`message`	`target.resource.attribute.labels`	Zugeordnet: `\/` → `namespace_label`
`namespace_label`	`target.resource.attribute.labels`	Zusammengeführt
`type`	`target.resource.attribute.labels`	Zugeordnet: `listretentionrules` → `namespace_label`
`data.resourceId`	`target.resource.name`	Direkt zugeordnet
`data.resourceName`	`target.resource.name`	Direkt zugeordnet
`bucketId`	`target.resource.product_object_id`	Direkt zugeordnet
`data.resourceId`	`target.resource.product_object_id`	Direkt zugeordnet
`data_request_id`	`target.resource.product_object_id`	Direkt zugeordnet
`message`	`target.resource.resource_type`	Zugeordnet: `\/` → `STORAGE_BUCKET`
`type`	`target.resource.resource_type`	Zugeordnet: `listretentionrules` → `STORAGE_BUCKET`
`data_request_path`	`target.url`	Direkt zugeordnet
`column2`	`target.user.email_addresses`	Zusammengeführt
`message`	`target.user.email_addresses`	Zugeordnet: `\/` → `column2`
–	`extensions.auth.type`	Konstante: `AUTHTYPE_UNSPECIFIED`
–	`metadata.product_name`	Konstante: `OCI_AUDIT`
–	`metadata.vendor_name`	Konstante: `Oracle`
–	`network.application_protocol`	Konstante: `HTTPS`
–	`principal.platform`	Konstante: `LINUX`
–	`target.resource.resource_type`	Konstante: `STORAGE_BUCKET`

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten