Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Oracle Cloud Infrastructure - Oracle Cloud Guard のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Webhook を使用して Google Security Operations にログを push するように Oracle Cloud Infrastructure Cloud Guard を構成する方法について説明します。

Oracle Cloud Guard は、Oracle Cloud Infrastructure（OCI）のセキュリティポスチャーをモニタリング、特定、維持するクラウドネイティブのセキュリティサービスです。Cloud Guard は、OCI リソースを調べて構成に関連するセキュリティ上の弱点を見つけ、異常なアクティビティを検出します。Cloud Guard は、検出機能ルールからの逸脱を検出すると、OCI テナンシー全体で包括的なセキュリティモニタリングを提供する問題イベントを作成します。この統合では、OCI Events Service と OCI Functions を使用して、Cloud Guard の問題イベントをほぼリアルタイムで Google SecOps に転送します。

始める前に

次の前提条件を満たしていることを確認します。

Google SecOps インスタンス
Cloud Guard が有効になっているアクティブな Oracle Cloud Infrastructure テナンシー
Oracle Cloud Infrastructure コンソールへの管理者アクセス権
OCI Functions アプリケーションを作成および管理する権限
OCI イベントルールと通知トピックを作成する権限
OCI Cloud Shell または Fn Project CLI がインストールされているローカル環境へのアクセス
Docker がインストールされている（OCI 関数をローカルでビルドする場合）
Google Cloud コンソールへのアクセス（API キーの作成用）

Google SecOps で Webhook フィードを作成する

フィードを作成する

[設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
次のページで、[単一のフィードを構成する] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: OCI Cloud Guard Problems）。
[Source type] として [Webhook] を選択します。
[Log type] として [Oracle Cloud Infrastructure - Oracle Cloud Guard] を選択します。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- Split delimiter（省略可）: 空白のままにします（関数の呼び出しごとに 1 つのイベントが送信されます）。
- Asset namespace: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

秘密鍵を生成して保存する

フィードを作成したら、認証用の秘密鍵を生成する必要があります。

フィードの詳細ページで、[Generate Secret Key] をクリックします。
ダイアログに秘密鍵が表示されます。
秘密鍵をコピーして安全に保存します。

重要: 秘密鍵は 1 回しか表示されず、後で取得することはできません。秘密鍵を紛失した場合は、新しい秘密鍵を生成する必要があります。

フィードエンドポイント URL を取得する

フィードの [詳細] タブに移動します。
[エンドポイント情報] セクションで、[フィードのエンドポイント URL] をコピーします。
URL の形式は次のとおりです。
```
https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
```
ここで、{region} は Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）、{parent} は projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE> 形式のリソースパスです。
次の手順で使用するために、この URL を保存します。
[完了] をクリックします。

Google Cloud API キーを作成する

Chronicle では、認証に API キーが必要です。Google Cloud コンソールで制限付き API キーを作成します。

API キーを作成する

Google Cloud コンソールの [認証情報] ページに移動します。
プロジェクト（Chronicle インスタンスに関連付けられているプロジェクト）を選択します。
[認証情報を作成] > [API キー] をクリックします。
API キーが作成され、ダイアログに表示されます。
[API キーを編集] をクリックしてキーを制限します。

API キーを制限する

[API キー] の設定ページで、次の操作を行います。
- 名前: わかりやすい名前を入力します（例: Chronicle Webhook API Key）。
[API の制限] で次の操作を行います。
1. [キーを制限] を選択します。
2. [API を選択] プルダウンで、[Google SecOps API]（または [Chronicle API]）を検索して選択します。
[保存] をクリックします。
ページ上部の [API キー] フィールドから API キーの値をコピーします。
API キーを安全に保存します。

注: API キーを制限すると、Chronicle API でのみ使用できるようになり、キーが不正使用された場合のセキュリティリスクが軽減されます。

Cloud Guard Cloud Event レスポンダーを有効にする

Cloud Guard は、Cloud Event レスポンダーを使用して、問題の詳細を OCI Events Service に送信します。Cloud Event レスポンダーはレスポンダーレシピの一部であり、有効にして自動的に実行されるように設定する必要があります。

レスポンダーレシピで Cloud Event ルールを有効にする

Oracle Cloud Infrastructure コンソールにログインします。
ナビゲーションメニューを開き、[Identity & Security] > [Cloud Guard] > [Recipes] を選択します。
[Responder Recipes] を選択します。
ターゲットにアタッチされているレスポンダーレシピをクリックします。
[Responder Rules] セクションで、[Cloud Events] ルールを見つけます。
ステータスが [Disabled] の場合:
1. [アクション] メニュー（3 つのドット）を開き、[編集] を選択します。
2. [ステータス] を [有効] に変更します。
3. [保存] をクリックします。

ターゲットで自動実行を構成する

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Identity & Security] > [Cloud Guard] > [Configuration] > [Targets] を選択します。
ターゲットコンパートメントを選択します。
[リソース] で [Responder Recipes] を選択します。
レスポンダーレシピのリンクをクリックします。
Cloud Event レスポンダールールを見つけます。
[アクション] メニュー（3 つのドット）を開き、[編集] を選択します。
[ルールのトリガー] を [自動的に実行] に設定します。
[CONFIRM EXECUTE AUTOMATICALLY] チェックボックスをオンにします。
[保存] をクリックします。

注: Cloud Event レスポンダーには、追加の IAM ポリシーは必要ありません。新しいレスポンダーレシピではデフォルトで有効になっていますが、既存のレシピの構成を確認してください。

OCI Functions アプリケーションを作成する

Cloud Guard イベントを Google SecOps に転送する関数をホストする OCI Functions アプリケーションを作成します。

アプリケーションの作成

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Developer Services] > [Functions] > [Applications] を選択します。
アプリケーションを作成するコンパートメントを選択します。
[アプリケーションを作成] をクリックします。
次の構成情報を指定します。
- 名前: 「cloudguard-chronicle-forwarder」と入力します。
- VCN: インターネットアクセスが可能な VCN を選択します（関数が Chronicle Webhook エンドポイントにアクセスするために必要です）。
- サブネット: NAT ゲートウェイが構成されているパブリックサブネットまたはプライベートサブネットを選択します。
[作成] をクリックします。

関数を作成してデプロイする

OCI Cloud Shell または Fn Project CLI を使用したローカル環境を使用して、関数を作成してデプロイします。

Oracle Cloud Infrastructure コンソールから OCI Cloud Shell を開きます（上部のナビゲーションバーにある Cloud Shell アイコンをクリックします）。

OCI Functions アプリケーションの Fn コンテキストを設定します。

fn list context
fn use context <your-region-context>
fn update context oracle.compartment-id <compartment_OCID>
fn update context registry <region-key>.ocir.io/<tenancy-namespace>/cloudguard-chronicle

新しい Python 関数を初期化します。

fn init --runtime python cloudguard-to-chronicle
cd cloudguard-to-chronicle

func.py ファイルの内容を次のコードに置き換えます。

import io
import json
import logging
import requests

from fdk import response

def handler(ctx, data: io.BytesIO = None):
    """
    OCI Function that receives Cloud Guard events from OCI Events Service
    and forwards them to Google SecOps (Chronicle) webhook endpoint.
    """
    logger = logging.getLogger()

    try:
        cfg = ctx.Config()
        chronicle_endpoint = cfg.get("CHRONICLE_ENDPOINT")
        chronicle_api_key = cfg.get("CHRONICLE_API_KEY")
        chronicle_secret = cfg.get("CHRONICLE_SECRET")

        if not all([chronicle_endpoint, chronicle_api_key, chronicle_secret]):
            logger.error("Missing required configuration: CHRONICLE_ENDPOINT, CHRONICLE_API_KEY, or CHRONICLE_SECRET")
            return response.Response(
                ctx, response_data=json.dumps({"error": "Missing configuration"}),
                headers={"Content-Type": "application/json"}, status_code=500
            )

        event_data = json.loads(data.getvalue())
        logger.info(f"Received Cloud Guard event: {event_data.get('eventType', 'unknown')}")

        webhook_url = f"{chronicle_endpoint}?key={chronicle_api_key}&secret={chronicle_secret}"

        headers = {
            "Content-Type": "application/json"
        }

        resp = requests.post(
            webhook_url,
            json=event_data,
            headers=headers,
            timeout=30
        )

        if resp.status_code >= 200 and resp.status_code < 300:
            logger.info(f"Successfully forwarded event to Chronicle (HTTP {resp.status_code})")
        else:
            logger.error(f"Failed to forward event to Chronicle (HTTP {resp.status_code}): {resp.text}")

        return response.Response(
            ctx, response_data=json.dumps({"status": resp.status_code}),
            headers={"Content-Type": "application/json"}, status_code=200
        )

    except Exception as e:
        logger.error(f"Error processing Cloud Guard event: {str(e)}")
        return response.Response(
            ctx, response_data=json.dumps({"error": str(e)}),
            headers={"Content-Type": "application/json"}, status_code=500
        )

requirements.txt ファイルの内容を置き換えます。
```
fdk>=0.1.0
requests>=2.25.0
```
関数をアプリケーションにデプロイします。
```
fn -v deploy --app cloudguard-chronicle-forwarder
```
デプロイが完了するまで待ちます。

関数の環境変数を構成する

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Developer Services] > [Functions] > [Applications] を選択します。
[cloudguard-chronicle-forwarder] アプリケーションをクリックします。
[リソース] で [関数] を選択します。
[cloudguard-to-chronicle] 関数をクリックします。
[リソース] で [構成] を選択します。

[編集] をクリックし、次の Key-Value ペアを追加します。

キー	値
`CHRONICLE_ENDPOINT`	Chronicle Webhook エンドポイント URL（例: `https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import`）
`CHRONICLE_API_KEY`	Chronicle Webhook 用に作成された Google Cloud API キー
`CHRONICLE_SECRET`	Chronicle Webhook 秘密鍵

[保存] をクリックします。

注: OCI Functions の構成値は、暗号化された環境変数として保存されます。または、OCI Vault シークレットを使用してセキュリティを強化します。

OCI Functions の IAM ポリシーを作成する

OCI Functions サービスと Events Service で関数を呼び出すには、IAM ポリシーが必要です。

関数の動的グループを作成する

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Identity & Security] > [Domains] を選択します。
[デフォルト] ドメインを選択します。
[Identity domain resources] で [Dynamic Groups] を選択します。
[動的グループを作成] をクリックします。
次の構成情報を提供してください。
- 名前: 「cloudguard-chronicle-functions」と入力します。
- 説明: 「Dynamic group for Cloud Guard to Chronicle forwarder function」と入力します。
- マッチングルール: 次のルールを入力します。
```
ALL {resource.type = 'fnfunc', resource.compartment.id = '<compartment_OCID>'}
```
[作成] をクリックします。

注: <compartment_OCID> は、関数アプリケーションがデプロイされているコンパートメントの OCID に置き換えます。

IAM ポリシーを作成する

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Identity & Security] > [Policies] を選択します。
ルートコンパートメントにいることを確認します。
[Create Policy] をクリックします。
次の構成情報を指定します。
- 名前: 「cloudguard-chronicle-policy」と入力します。
- 説明: 「Allows Events Service to invoke Cloud Guard Chronicle forwarder function」と入力します。
- コンパートメント: ルートコンパートメントが選択されていることを確認します。
[ポリシービルダー] セクションで、[手動エディタを表示] を切り替えます。

[ステートメント] フィールドに、次のポリシーステートメントを入力します。

Allow dynamic-group cloudguard-chronicle-functions to use fn-function in compartment <compartment_name>
Allow dynamic-group cloudguard-chronicle-functions to use fn-invocation in compartment <compartment_name>
Allow service cloudguardevents to use fn-function in compartment <compartment_name>
Allow service cloudguardevents to use fn-invocation in compartment <compartment_name>

[作成] をクリックします。

注: <compartment_name> は、関数アプリケーションがデプロイされているコンパートメントの名前に置き換えます。

Cloud Guard の OCI イベントルールを作成する

Cloud Guard が問題を検出、無視、または修正したときに OCI 関数をトリガーするイベントルールを作成します。

イベントルールを作成する

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Observability & Management] > [Events Service] > [Rules] を選択します。

重要: イベントルールを作成するには、Cloud Guard のレポートリージョンにいる必要があります。レポートリージョンは、ホームリージョンとは異なる場合があります。
[作成] をクリックします。
次の構成情報を提供してください。
- 表示名: 「cloudguard-to-chronicle」と入力します。
- 説明: 「Forwards Cloud Guard problem events to Google SecOps via OCI Functions」と入力します。
[ルールの条件] セクションで、次の操作を行います。
1. [条件] を [イベントタイプ] に設定します。
2. [サービス名] を「Cloud Guard」に設定します。
3. [Event Type] を次のように設定します（複数選択）。
  - 検出済み - 問題
  - 却下 - 問題
  - 修正済み - 問題
[アクション] セクションで、次の操作を行います。
1. [アクションタイプ] を [関数] に設定します。
2. [Function Compartment] を、関数アプリケーションを含むコンパートメントに設定します。
3. [Function Application] を [cloudguard-chronicle-forwarder] に設定します。
4. [関数] を [cloudguard-to-chronicle] に設定します。
[作成] をクリックします。

省略可: リスクレベルでフィルタする

重大度の高い問題のみを転送するには、イベントルールに属性フィルタを追加します。

[ルールの条件] セクションで、[+ 別の条件] をクリックします。
[条件] を [属性] に設定します。
[属性名] を riskLevel に設定します。
[属性値] を、目的のリスクレベルに設定します。
- CRITICAL
- HIGH
注: 使用可能なリスクレベルは、CRITICAL、HIGH、MEDIUM、LOW、MINOR です。

統合を確認する

関数を手動でテストする

Oracle Cloud Infrastructure コンソールで、ナビゲーションメニューを開き、[Developer Services] > [Functions] > [Applications] を選択します。
[cloudguard-chronicle-forwarder] アプリケーションをクリックします。
[リソース] で [関数] を選択します。
[cloudguard-to-chronicle] 関数をクリックします。

[Invoke] をクリックしてサンプルデータで関数をテストするか、OCI Cloud Shell を使用します。

echo '{"eventType":"com.oraclecloud.cloudguard.problemdetected","cloudEventsVersion":"0.1","eventID":"test-event-001","data":{"compartmentId":"ocid1.compartment.oc1..example","resourceName":"test-problem","additionalDetails":{"riskLevel":"HIGH","problemDescription":"Test problem for integration verification","status":"OPEN","region":"us-ashburn-1"}}}' | fn invoke cloudguard-chronicle-forwarder cloudguard-to-chronicle

[Developer Services] > [Functions] > [Applications] > [cloudguard-chronicle-forwarder] に移動し、[Logs] セクションを選択して、関数のログを確認します。

転送が成功したことを確認するログエントリを探します。

Received Cloud Guard event: com.oraclecloud.cloudguard.problemdetected
Successfully forwarded event to Chronicle (HTTP 200)

Google SecOps で確認する

Google SecOps にログインします。
[検索] に移動し、ログタイプ OCI_CLOUDGUARD のイベントをクエリします。
Cloud Guard の問題イベントが検索結果に表示されることを確認します。

イベントが表示されない場合:

関数の構成で、Chronicle の Webhook エンドポイント URL、API キー、秘密鍵を確認します。
イベントルールが正しい OCI リージョン（Cloud Guard レポートリージョン）にあることを確認します。
Cloud Event レスポンダーが有効になっていて、自動実行に設定されていることを確認する
関数のログでエラーメッセージを確認する

Cloud Guard のイベントタイプのリファレンス

Cloud Guard は、OCI Events Service を通じて次のイベントタイプを出力します。

イベントタイプ	トリガー
`com.oraclecloud.cloudguard.problemdetected`	新しい問題が検出された
`com.oraclecloud.cloudguard.problemdismissed`	問題が閉じられた
`com.oraclecloud.cloudguard.problemremediated`	問題が修正された
`com.oraclecloud.cloudguard.sightingdetected`	新しい目撃情報が検出された

認証方法のリファレンス

Chronicle の Webhook フィードは、複数の認証方法をサポートしています。ベンダーがサポートしている方法を選択してください。

方法 1: カスタムヘッダー（推奨）

ベンダーがカスタム HTTP ヘッダーをサポートしている場合は、セキュリティを強化するためにこの方法を使用します。

リクエストの形式:

POST <ENDPOINT_URL> HTTP/1.1
Content-Type: application/json
x-goog-chronicle-auth: <API_KEY>
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

メリット:

API キーとシークレットが URL に表示されない
より安全（ヘッダーはウェブサーバーのアクセスログに記録されない）
ベンダーが対応している場合に推奨される方法

方法 2: クエリパラメータ

ベンダーがカスタムヘッダーをサポートしていない場合は、URL に認証情報を追加します。

URL 形式:

<ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

例:

https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

リクエストの形式:

POST <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY> HTTP/1.1
Content-Type: application/json

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

デメリット:

URL に表示される認証情報
ウェブサーバーのアクセスログに記録される可能性がある
ヘッダーよりも安全性が低い

方法 3: ハイブリッド（URL + ヘッダー）

一部の構成では、URL に API キー、ヘッダーに秘密鍵を使用します。

リクエストの形式:

POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{
        "event": "data",
        "timestamp": "2025-01-15T10:30:00Z"
}

認証ヘッダー名

Chronicle では、認証に次のヘッダー名を使用できます。

API キーの場合:
- x-goog-chronicle-auth（推奨）
- X-Goog-Chronicle-Auth（大文字と小文字を区別しない）
秘密鍵の場合:
- x-chronicle-auth（推奨）
- X-Chronicle-Auth（大文字と小文字を区別しない）
注: このガイドの OCI 関数では、クエリパラメータ認証（方法 2）を使用します。カスタムヘッダー認証（方法 1）を使用するには、URL に認証情報を追加するのではなく、x-goog-chronicle-auth ヘッダーと x-chronicle-auth ヘッダーを含めるように関数コードを変更します。

Webhook の制限とベストプラクティス

リクエストに関する上限

上限	値
最大リクエストサイズ	4 MB
最大 QPS（秒間クエリ数）	15,000
リクエストのタイムアウト	30 秒
再試行の動作	指数バックオフによる自動

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
contentType	additional.fields	さまざまな追加フィールドから統合
cloudEventsVersion	additional.fields
data.additionalDetails.reason	additional.fields
data.additionalDetails.tenantId	additional.fields
data.additionalDetails.problemType	additional.fields
data.resourceName	additional.fields
data.resourceId	additional.fields
ステータス	additional.fields
problem_recommendation	additional.fields
compartment_id	additional.fields
compartment_name	additional.fields
product_event	extensions.auth.type	product_event が login と一致する場合は「AUTHTYPE_UNSPECIFIED」に設定します。
data.additionalDetails.problemDescription	metadata.description	data.additionalDetails.problemDescription の値（空でない場合）。空の場合は data.additionalDetails.description
data.additionalDetails.description	metadata.description
has_user	metadata.event_type	has_user と has_target_resource の場合は USER_RESOURCE_ACCESS、has_user の場合は USER_UNCATEGORIZED、product_event がログインと一致する場合は USER_LOGIN、has_principal の場合は STATUS_UPDATE、それ以外の場合は GENERIC_EVENT に設定されます。
has_target_resource	metadata.event_type
product_event	metadata.event_type
has_principal	metadata.event_type
eventType	metadata.product_event_type	空でない場合は eventType の値、それ以外の場合は product_event
product_event	metadata.product_event_type
eventID	metadata.product_log_id	値が直接コピーされる
version	metadata.product_version	値が直接コピーされる
observer	observer.domain.name	Grok を使用してオブザーバーから抽出されたドメイン
observer	observer.hostname	IP でない場合はオブザーバーからの値
observer	observer.ip	IP の場合はオブザーバーからの値
プリンシパル	principal.administrative_domain	grok を使用して principal または principal_host から抽出されたドメイン
principal_host	principal.administrative_domain
data.additionalDetails.problemAdditionalDetails.public_ips	principal.asset.ip	data.additionalDetails.problemAdditionalDetails.public_ips の値（空でない場合）。空の場合は vnicDetails.0.vnicPublicIp（空でない場合）。空の場合は principal（IP の場合）。空の場合は principal_host（IP の場合）。
vnicDetails.0.vnicPublicIp	principal.asset.ip
プリンシパル	principal.asset.ip
principal_host	principal.asset.ip
プリンシパル	principal.hostname	IP でない場合は principal の値、IP でない場合は principal_host
principal_host	principal.hostname
data.additionalDetails.problemAdditionalDetails.public_ips	principal.ip	data.additionalDetails.problemAdditionalDetails.public_ips の値（空でない場合）。空の場合は vnicDetails.0.vnicPublicIp（空でない場合）。空の場合は principal（IP の場合）。空の場合は principal_host（IP の場合）。
vnicDetails.0.vnicPublicIp	principal.ip
プリンシパル	principal.ip
principal_host	principal.ip
data.additionalDetails.region	principal.location.name	値が直接コピーされる
principal_port	principal.port	principal_port から整数に変換
data.additionalDetails.resourceName	principal.resource.name	data.additionalDetails.resourceName の値（空でない場合）。空の場合は data.additionalDetails.principalResourceName
data.additionalDetails.principalResourceName	principal.resource.name
data.additionalDetails.resourceId	principal.resource.product_object_id	data.additionalDetails.resourceId の値（空でない場合）。空の場合は data.additionalDetails.principalResourceId
data.additionalDetails.principalResourceId	principal.resource.product_object_id
data.additionalDetails.resourceType	principal.resource.resource_subtype	data.additionalDetails.resourceType の値（空でない場合）。空の場合は data.additionalDetails.principalResourceType
data.additionalDetails.principalResourceType	principal.resource.resource_subtype
data.additionalDetails.resourceName	principal.user.userid	data.additionalDetails.resourceType == "User" の場合は data.additionalDetails.resourceName の値、data.additionalDetails.principalResourceType == "User" の場合は data.additionalDetails.principalResourceName の値
data.additionalDetails.principalResourceName	principal.user.userid
アクション	security_result.action	アクションがブロックと一致する場合は BLOCK、成功した場合は ALLOW、失敗した場合は FAIL、それ以外の場合は UNKNOWN に設定します。
アクション	security_result.action_details	値が直接コピーされる
data.additionalDetails.tacticName	security_result.attack_details.tactics	値が tactic_data.name に直接コピーされ、統合されます。
data.additionalDetails.techniqueName	security_result.attack_details.techniques	値が technique_data.name に直接コピーされ、マージされます。
data.additionalDetails.confidence	security_result.confidence_score	値が直接コピーされる
sightingType	security_result.detection_fields	sightingType、sightingScore、riskScore ラベルから統合
sightingScore	security_result.detection_fields
riskScore	security_result.detection_fields
data.additionalDetails.detectorRuleId	security_result.rule_id	値が直接コピーされる
data.additionalDetails.detectorRuleType	security_result.rule_name	値が直接コピーされる
重要度	security_result.severity	重大度が INFO の場合は INFORMATIONAL、Low の場合は LOW、WARN の場合は MEDIUM、High の場合は HIGH、Critical の場合は CRITICAL に設定します。
重要度	security_result.severity_details	値が直接コピーされる
ターゲット	target.administrative_domain	grok を使用して target または target_host から抽出されたドメイン
target_host	target.administrative_domain
ターゲット	target.hostname	IP でない場合は target の値、IP でない場合は target_host
target_host	target.hostname
ターゲット	target.ip	IP の場合は target の値、IP の場合は target_host
target_host	target.ip
target_port	target.port	target_port から整数に変換
targetId	target.resource.attribute.labels	さまざまなラベルフィールドから統合
ラベル	target.resource.attribute.labels
vnicAttachmentId	target.resource.attribute.labels
vnicAttachmentDisplayName	target.resource.attribute.labels
subnets	target.resource.attribute.labels
instance_ocid	target.resource.attribute.labels
route_table_ocids	target.resource.attribute.labels
security_list_ocids	target.resource.attribute.labels
data.additionalDetails.impactedResourceName	target.resource.name	data.additionalDetails.impactedResourceName の値（空でない場合）。空の場合は vnicDetails.0.vnicDisplayName
vnicDetails.0.vnicDisplayName	target.resource.name
data.additionalDetails.impactedResourceId	target.resource.product_object_id	data.additionalDetails.impactedResourceId の値（空でない場合）。空の場合は vnicDetails.0.vnicId
vnicDetails.0.vnicId	target.resource.product_object_id
data.additionalDetails.impactedResourceType	target.resource.resource_subtype	値が直接コピーされる
target_url	target.url	値が直接コピーされる
target_user	target.user.userid	値が直接コピーされる
product	metadata.product_name	値が直接コピーされる
vendor	metadata.vendor_name	値が直接コピーされる
`data.additionalDetails.tacticName`	`security_result.attack_details.tactics.name`	変更履歴からマッピング
`data.additionalDetails.techniqueName`	`security_result.attack_details.techniques.name`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

Oracle Cloud Infrastructure - Oracle Cloud Guard のログを収集する

始める前に

Google SecOps で Webhook フィードを作成する

フィードを作成する

秘密鍵を生成して保存する

フィード エンドポイント URL を取得する

Google Cloud API キーを作成する

API キーを作成する

API キーを制限する

Cloud Guard Cloud Event レスポンダーを有効にする

レスポンダー レシピで Cloud Event ルールを有効にする

ターゲットで自動実行を構成する

OCI Functions アプリケーションを作成する

アプリケーションの作成

関数を作成してデプロイする

関数の環境変数を構成する

OCI Functions の IAM ポリシーを作成する

関数の動的グループを作成する

IAM ポリシーを作成する

Cloud Guard の OCI イベントルールを作成する

イベントルールを作成する

省略可: リスクレベルでフィルタする

統合を確認する

関数を手動でテストする

Google SecOps で確認する

Cloud Guard のイベントタイプのリファレンス

認証方法のリファレンス

方法 1: カスタム ヘッダー（推奨）

方法 2: クエリ パラメータ

方法 3: ハイブリッド（URL + ヘッダー）

認証ヘッダー名

Webhook の制限とベスト プラクティス

リクエストに関する上限

UDM マッピング テーブル

変更ログ

フィードエンドポイント URL を取得する

レスポンダーレシピで Cloud Event ルールを有効にする

方法 1: カスタムヘッダー（推奨）

方法 2: クエリパラメータ

Webhook の制限とベストプラクティス

UDM マッピングテーブル