איסוף יומנים של Okta Advanced Server Access

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני Okta Advanced Server Access ב-Google Security Operations באמצעות Google Cloud Storage V2.

‫Okta Advanced Server Access (לשעבר ScaleFT) הוא פתרון לניהול גישה עם הרשאות, שמספק גישה לשרתים באמצעות SSH ו-RDP עם אישורים זמניים ורישום מקיף ביומן הביקורת. הפלטפורמה שומרת אירועי ביקורת למשך 90 יום ומספקת API לאחזור האירועים האלה לאחסון ולניתוח לטווח ארוך בפלטפורמות SIEM.

לפני שמתחילים

ודאו שאתם עומדים בדרישות המוקדמות הבאות:

  • מכונה של Google SecOps
  • פרויקט ב-GCP עם ממשקי ה-API של Cloud Storage,‏ Cloud Run,‏ Pub/Sub ו-Cloud Scheduler מופעלים
  • הרשאות ליצירה ולניהול של קטגוריות ב-GCS
  • הרשאות לניהול מדיניות IAM בקטגוריות של GCS
  • הרשאות ליצירת שירותי Cloud Run, נושאי Pub/Sub ומשימות ב-Cloud Scheduler
  • הרשאת אדמין בצוות שלכם ב-Okta Advanced Server Access
  • יכולת ליצור משתמשי שירות ומפתחות API ב-Advanced Server Access

הגדרת הגישה ל-API של Okta Advanced Server Access

כדי לאפשר ל-Google SecOps לאחזר אירועי ביקורת, צריך ליצור משתמש שירות וליצור מפתח API. משתמשי שירות הם חשבונות מיוחדים שמיועדים לאוטומציה ולשילובים של ממשקי API.

יצירת משתמש שירות

  1. נכנסים למרכז הבקרה של Advanced Server Access.
  2. מעבר לדף משתמשים
  3. לוחצים על הכרטיסייה משתמשי שירות.
  4. לוחצים על Create Service User.

  5. בשדה Username, מזינים שם תיאורי למשתמש השירות (לדוגמה, chronicle-integration).

  6. לוחצים על Create Service User.

יצירת מפתח API

  1. בדף הפרטים של משתמש השירות, לוחצים על Create API Key (יצירת מפתח API).

  2. מעתיקים ושומרים מיד את פרטי הכניסה הבאים:

    • מזהה מפתח API: מזהה UUID שמזהה את מפתח ה-API (לדוגמה, 6052868b-1b04-4a14-8288-e6496d7f2f4b)
    • סוד של מפתח API: מחרוזת סודית בקידוד Base64 שמשמשת לאימות בקשות API

  3. לוחצים על סיום.

מקצים את משתמש השירות לקבוצה עם הרשאות מתאימות

כדי לגשת ל-Audits API, משתמשי השירות צריכים להיות חברים בקבוצה עם תפקידים מתאימים ברמת הצוות.

  1. בלוח הבקרה של Advanced Server Access, עוברים אל Groups (קבוצות).
  2. בוחרים קבוצה קיימת או יוצרים קבוצה חדשה לגישה ל-API.
  3. לוחצים על שם הקבוצה כדי לפתוח את פרטי הקבוצה.
  4. לוחצים על הכרטיסייה משתמשים.
  5. לוחצים על הוספת משתמש.
  6. מחפשים את משתמש השירות (לדוגמה, chronicle-integration) ובוחרים אותו.
  7. לוחצים על הוספה.
  8. לוחצים על הכרטיסייה תפקידים.

  9. מוודאים שלקבוצה יש אחד מהתפקידים הבאים ברמת הצוות:

    • ‫reporting_user: גישה לקריאה בלבד לכל נקודות הקצה (מומלץ להטמעת יומנים)
    • ‫access_admin: הרשאת אדמין מלאה (מעניקה את כל הרשאות ה-CRUD)

  10. אם התפקיד הנדרש לא מוקצה, לוחצים על הוספת תפקיד, בוחרים באפשרות reporting_user או access_admin ולוחצים על שמירה.

אימות ההרשאות

כדי לוודא שלמשתמש בשירות יש את ההרשאות הנדרשות:

  1. בלוח הבקרה של Advanced Server Access, עוברים אל Groups (קבוצות).
  2. לוחצים על הקבוצה שמכילה את המשתמש בשירות (לדוגמה, chronicle-integration).
  3. לוחצים על הכרטיסייה תפקידים.
  4. מוודאים שהתפקיד reporting_user או access_admin מופיע ברשימה.
  5. אם הכרטיסייה "תפקידים" לא מופיעה, פנו לאדמין כדי לקבל את הרשאת הגישה המתאימה.

בדיקת הגישה ל-API

  • לפני שממשיכים בתהליך השילוב, בודקים את פרטי הכניסה:

    # Replace with your actual credentials
TEAM_NAME="your-team-name"
KEY_ID="your-api-key-id"
KEY_SECRET="your-api-key-secret"

# Obtain bearer token
TOKEN=$(curl -s -X POST "https://app.scaleft.com/v1/teams/${TEAM_NAME}/service_token" \
    -H "Content-Type: application/json" \
    -d "{\"key_id\": \"${KEY_ID}\", \"key_secret\": \"${KEY_SECRET}\"}" \
    | python3 -c "import sys,json; print(json.load(sys.stdin)['bearer_token'])")

# Test audit events access
curl -s -H "Authorization: Bearer ${TOKEN}" \
    "https://app.scaleft.com/v1/teams/${TEAM_NAME}/auditsV2?count=5" \
    | python3 -m json.tool

תגובה מוצלחת מחזירה מערך JSON של אירועי ביקורת אחרונים.

יצירת קטגוריה של Google Cloud Storage

  1. נכנסים למסוף Google Cloud.
  2. בוחרים את הפרויקט או יוצרים פרויקט חדש.
  3. בתפריט הניווט, נכנסים ל-Cloud Storage > Buckets.
  4. לוחצים על Create bucket.

  5. ממלאים את פרטי ההגדרה הבאים:

    הגדרה ערך
    Name your bucket מזינים שם ייחודי ברמה גלובלית (לדוגמה, okta-asa-audit-logs)
    סוג המיקום בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
    Location בוחרים את המיקום (לדוגמה, us-central1)
    סוג אחסון (storage class) רגיל (מומלץ ליומנים שהגישה אליהם תכופה)
    בקרת גישה אחידה (מומלץ)
    כלי הגנה אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

  6. לוחצים על יצירה.

יצירת חשבון שירות לפונקציית Cloud Run

  1. במסוף GCP, נכנסים לדף IAM & Admin > Service Accounts.
  2. לוחצים על Create Service Account.
  3. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים okta-asa-collector-sa
    • Service account description: מזינים Service account for Cloud Run function to collect Okta Advanced Server Access audit logs
  4. לוחצים על יצירה והמשך.
  5. בקטע Grant this service account access to project, מוסיפים את התפקידים הבאים:
    1. לוחצים על בחירת תפקיד.
    2. מחפשים את התפקיד Storage Object Admin ובוחרים אותו.
    3. לוחצים על + הוספת תפקיד.
    4. מחפשים את התפקיד Cloud Run Invoker ובוחרים בו.
    5. לוחצים על + הוספת תפקיד.
    6. מחפשים את התפקיד Cloud Functions Invoker ובוחרים אותו.
  6. לוחצים על Continue.
  7. לוחצים על סיום.

הענקת הרשאות IAM בקטגוריית GCS

  1. נכנסים לדף Cloud Storage > Buckets.
  2. לוחצים על שם הקטגוריה (okta-asa-audit-logs).
  3. עוברים לכרטיסייה Permissions.
  4. לוחצים על הענקת גישה.
  5. מזינים את פרטי ההגדרה הבאים:
    • הוספת חשבונות משתמשים: מזינים את כתובת האימייל של חשבון השירות (okta-asa-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • הקצאת תפקידים: בוחרים באפשרות אדמין של אובייקטים באחסון.
  6. לוחצים על Save.

יצירת נושא Pub/Sub

  1. במסוף GCP, נכנסים לדף Pub/Sub > Topics.
  2. לוחצים על Create topic.
  3. מזינים את פרטי ההגדרה הבאים:
    • מזהה הנושא: מזינים okta-asa-audit-trigger
    • משאירים את שאר ההגדרות כברירת מחדל.
  4. לוחצים על יצירה.

יצירת פונקציית Cloud Run לאיסוף יומנים

פונקציית Cloud Run תופעל על ידי הודעות Pub/Sub מ-Cloud Scheduler כדי לאחזר יומנים מ-Okta Advanced Server Access Audits API ולכתוב אותם ב-GCS.

  1. במסוף GCP, נכנסים ל-Cloud Run.
  2. לוחצים על Create service.
  3. בוחרים באפשרות Function (שימוש בעורך ישיר כדי ליצור פונקציה).

  4. בקטע Configure, מזינים את פרטי ההגדרה הבאים:

    הגדרה ערך
    שם השירות okta-asa-collector
    אזור בוחרים את האזור שתואם לקטגוריית ה-GCS (לדוגמה, us-central1)
    זמן ריצה בוחרים באפשרות Python 3.12 או גרסה עדכנית יותר.

  5. בקטע טריגר (אופציונלי):

    1. לוחצים על + הוספת טריגר.
    2. בוחרים באפשרות Cloud Pub/Sub.
    3. בקטע Select a Cloud Pub/Sub topic, בוחרים את okta-asa-audit-trigger.
    4. לוחצים על Save.

  6. בקטע אימות:

    1. לוחצים על דרישת אימות.
    2. בודקים את ניהול הזהויות והרשאות הגישה (IAM).

  7. גוללים למטה ומרחיבים את הקטע Containers, Networking, Security.

  8. עוברים לכרטיסייה אבטחה:

    • חשבון שירות: בוחרים באפשרות okta-asa-collector-sa

  9. עוברים לכרטיסייה מאגרי תגים:

    1. לוחצים על Variables & Secrets.
    2. לוחצים על ‎+ Add variable לכל משתנה סביבה:
    שם משתנה ערך לדוגמה תיאור
    GCS_BUCKET okta-asa-audit-logs שם הקטגוריה ב-GCS
    GCS_PREFIX okta-asa-audit קידומת לקובצי יומן
    STATE_KEY okta-asa-audit/state.json נתיב קובץ תמונת המצב
    ASA_TEAM_NAME your-team-name שם הצוות ב-Advanced Server Access
    ASA_KEY_ID your-api-key-id מזהה מפתח ה-API של משתמש השירות
    ASA_KEY_SECRET your-api-key-secret סוד של מפתח API של משתמש בשירות
    MAX_RECORDS 5000 מספר הרשומות המקסימלי לכל הרצה
    PAGE_SIZE 1000 רשומות לכל דף API (מקסימום 1,000)
    LOOKBACK_HOURS 24 תקופת המבט לאחור הראשונית

  10. בקטע Variables & Secrets, גוללים למטה אל Requests:

    • ‫Request timeout: מזינים 600 שניות (10 דקות)

  11. עוברים לכרטיסייה הגדרות:

    • בקטע Resources:
      • זיכרון: בוחרים באפשרות ‎512 MiB או יותר
      • מעבד (CPU): בוחרים באפשרות 1

  12. בקטע Revision scaling:

    • Minimum number of instances: מזינים 0
    • Maximum number of instances: מזינים 100

  13. לוחצים על יצירה.

  14. ממתינים ליצירת השירות (דקה או שתיים).

  15. אחרי שיוצרים את השירות, עורך הקוד המוטבע נפתח באופן אוטומטי.

הוספת קוד פונקציה

  1. בשדה Entry point, מזינים main.

  2. בעורך הקוד, יוצרים שני קבצים:

    • main.py:

      import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time

http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=10.0, read=60.0),
  retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'okta-asa-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'okta-asa-audit/state.json')
ASA_TEAM_NAME = os.environ.get('ASA_TEAM_NAME')
ASA_KEY_ID = os.environ.get('ASA_KEY_ID')
ASA_KEY_SECRET = os.environ.get('ASA_KEY_SECRET')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))

ASA_API_BASE = 'https://app.scaleft.com'

@functions_framework.cloud_event
def main(cloud_event):
  if not all([GCS_BUCKET, ASA_TEAM_NAME, ASA_KEY_ID, ASA_KEY_SECRET]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket)
    now = datetime.now(timezone.utc)

    if isinstance(state, dict) and state.get('last_offset'):
      last_offset = state['last_offset']
    else:
      last_offset = None

    print(f"Starting audit log collection (last_offset={last_offset})")

    token = get_bearer_token()

    records, newest_offset = fetch_audit_events(
      token=token,
      last_offset=last_offset,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
    )

    if not records:
      print("No new audit records found.")
      return

    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/okta_asa_audit_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join(
      [json.dumps(record, ensure_ascii=False) for record in records]
    ) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

    if newest_offset:
      save_state(bucket, newest_offset)

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def get_bearer_token():
  url = f"{ASA_API_BASE}/v1/teams/{ASA_TEAM_NAME}/service_token"
  body = json.dumps({
    'key_id': ASA_KEY_ID,
    'key_secret': ASA_KEY_SECRET
  }).encode('utf-8')

  response = http.request(
    'POST', url,
    body=body,
    headers={'Content-Type': 'application/json'}
  )

  if response.status != 200:
    raise Exception(
      f"Service token request failed: {response.status} - "
      f"{response.data.decode('utf-8')}"
    )

  data = json.loads(response.data.decode('utf-8'))
  token = data.get('bearer_token')
  if not token:
    raise Exception("No bearer_token in service token response")

  print("Successfully obtained ASA bearer token")
  return token

def fetch_audit_events(token, last_offset, page_size, max_records):
  endpoint = f"{ASA_API_BASE}/v1/teams/{ASA_TEAM_NAME}/auditsV2"

  headers = {
    'Authorization': f'Bearer {token}',
    'Accept': 'application/json',
  }

  records = []
  page_num = 0
  backoff = 1.0
  current_offset = last_offset

  while True:
    page_num += 1

    if len(records) >= max_records:
      print(f"Reached max_records limit ({max_records})")
      break

    params = [f"count={page_size}"]
    if current_offset:
      params.append(f"offset={current_offset}")

    url = f"{endpoint}?{'&'.join(params)}"

    try:
      response = http.request('GET', url, headers=headers)

      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      backoff = 1.0

      if response.status == 401:
        print("Token expired (401). Refreshing bearer token...")
        token = get_bearer_token()
        headers['Authorization'] = f'Bearer {token}'
        continue

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return records, current_offset

      data = json.loads(response.data.decode('utf-8'))

      page_results = data.get('list', [])

      if not page_results:
        print(f"No more results (empty page)")
        break

      print(f"Page {page_num}: Retrieved {len(page_results)} events")
      records.extend(page_results)

      # Extract next offset from Link header for pagination
      link_header = response.headers.get('Link', '')
      next_offset = extract_next_offset(link_header)

      if next_offset:
        current_offset = next_offset
      else:
        print("No more pages (no next link)")
        break

    except Exception as e:
      print(f"Error fetching audit events: {e}")
      return records, current_offset

  print(f"Retrieved {len(records)} total records from {page_num} pages")
  return records, current_offset

def extract_next_offset(link_header):
  if not link_header:
    return None

  parts = link_header.split(',')
  for part in parts:
    if 'rel="next"' in part:
      url_part = part.split(';')[0].strip().strip('<>')
      if 'offset=' in url_part:
        for param in url_part.split('?')[-1].split('&'):
          if param.startswith('offset='):
            return param.split('=', 1)[1]
  return None

def load_state(bucket):
  try:
    blob = bucket.blob(STATE_KEY)
    if blob.exists():
      return json.loads(blob.download_as_text())
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, last_offset):
  try:
    state = {
      'last_offset': last_offset,
      'last_run': datetime.now(timezone.utc).isoformat()
    }
    blob = bucket.blob(STATE_KEY)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_offset={last_offset}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

    • requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. לוחצים על Deploy כדי לשמור ולפרוס את הפונקציה.

  4. מחכים שהפריסה תסתיים (2-3 דקות).

יצירת משימה ב-Cloud Scheduler

  1. במסוף GCP, נכנסים ל-Cloud Scheduler.
  2. לוחצים על Create Job.

  3. ממלאים את פרטי ההגדרה הבאים:

    הגדרה ערך
    שם okta-asa-collector-hourly
    אזור בוחרים את אותו אזור כמו של פונקציית Cloud Run.
    תדירות ‫0 * * * * (כל שעה, בשעה עגולה)
    אזור זמן בחירת אזור זמן (מומלץ לבחור ב-UTC)
    סוג היעד Pub/Sub
    נושא בחירת okta-asa-audit-trigger
    גוף ההודעה ‫{} (אובייקט JSON ריק)

  4. לוחצים על יצירה.

אפשרויות לתדירות התזמון

בוחרים את התדירות בהתאם לנפח היומן ולדרישות לגבי זמן האחזור:

תדירות ביטוי Cron תרחיש לדוגמה
כל 5 דקות */5 * * * * נפח גבוה, זמן אחזור נמוך
כל 15 דקות */15 * * * * נפח חיפושים בינוני
כל שעה 0 * * * * רגיל (מומלץ)
כל 6 שעות 0 */6 * * * נפח נמוך, עיבוד ברצף (batch processing)
יומי 0 0 * * * איסוף נתונים היסטוריים

בדיקת השילוב

  1. במסוף Cloud Scheduler, מוצאים את המשימה (okta-asa-collector-hourly).
  2. לוחצים על Force run כדי להפעיל את המשימה באופן ידני.
  3. מחכים כמה שניות.
  4. נכנסים לדף Cloud Run > Services.
  5. לוחצים על okta-asa-collector.
  6. לוחצים על הכרטיסייה Logs.

  7. מוודאים שהפונקציה בוצעה בהצלחה. חפשו את:

    Starting audit log collection (last_offset=None)
Successfully obtained ASA bearer token
Page 1: Retrieved X events
Wrote X records to gs://okta-asa-audit-logs/okta-asa-audit/okta_asa_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. נכנסים לדף Cloud Storage > Buckets.

  9. לוחצים על okta-asa-audit-logs.

  10. עוברים לתיקייה okta-asa-audit/.

  11. מוודאים שנוצר קובץ .ndjson חדש עם חותמת הזמן הנוכחית.

אם מופיעות שגיאות ביומנים:

  • ‫HTTP 401: מוודאים שמשתני הסביבה ASA_KEY_ID ו-ASA_KEY_SECRET נכונים.
  • ‫HTTP 403: מוודאים שלמשתמש השירות יש את התפקיד reporting_user או access_admin
  • ‫HTTP 429: הגבלת קצב של יצירת בקשות – הפונקציה תנסה שוב באופן אוטומטי עם השהיה מעריכית לפני ניסיון חוזר (exponential backoff)
  • משתני סביבה חסרים: מוודאים שכל המשתנים הנדרשים מוגדרים בפונקציית Cloud Run.

אחזור של חשבון השירות של Google SecOps

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Okta ASA Audit Logs).
  5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  6. בוחרים באפשרות Okta Advanced Server Access בתור Log type.
  7. לוחצים על Get Service Account (קבלת חשבון שירות).

  8. מוצגת כתובת אימייל ייחודית של חשבון שירות. לדוגמה:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. מעתיקים את כתובת האימייל הזו כדי להשתמש בה בשלב הבא.

  10. לוחצים על הבא.

  11. מציינים ערכים לפרמטרים הבאים של הקלט:

    • כתובת ה-URL של קטגוריית האחסון: מזינים את ה-URI של קטגוריית GCS עם נתיב הקידומת:

      gs://okta-asa-audit-logs/okta-asa-audit/

    • אפשרות מחיקת המקור: בוחרים את אפשרות המחיקה המועדפת:

      • Never: אף פעם לא למחוק קבצים אחרי העברות (מומלץ לבדיקה).
      • מחיקת קבצים שהועברו: מחיקת קבצים אחרי שהם הועברו בהצלחה.

      • מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת.

    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים (ברירת המחדל היא 180 ימים)

    • מרחב השמות של הנכס: מרחב השמות של הנכס

    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה

  12. לוחצים על הבא.

  13. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

מתן הרשאות IAM לחשבון השירות של Google SecOps

  1. נכנסים לדף Cloud Storage > Buckets.
  2. לוחצים על okta-asa-audit-logs.
  3. עוברים לכרטיסייה Permissions.
  4. לוחצים על הענקת גישה.
  5. מזינים את פרטי ההגדרה הבאים:
    • Add principals: מדביקים את כתובת האימייל של חשבון השירות של Google SecOps.
    • Assign roles: בוחרים באפשרות Storage Object Viewer.

  6. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
details.actor.details.email principal.user.email_addresses הערך הועתק ישירות
details.actor.details.first_name principal.user.first_name הערך הועתק ישירות
details.actor.details.full_name principal.user.user_display_name הערך הועתק ישירות
details.actor.details.last_name principal.user.last_name הערך הועתק ישירות
details.actor.details.user_type principal.user.attribute.roles הערך הועתק ישירות
details.actor.id principal.user.employee_id הערך הועתק ישירות
details.actor.name principal.user.userid הערך מ-details.actor.name אם הוא לא ריק, אחרת details.unix_user_name
details.unix_user_name principal.user.userid
details.actor.status principal.user.attribute.labels מוזג כתווית עם המפתח "actor_status"
details.actor.team_name principal.user.department הערך הועתק ישירות
details.actor.user_type principal.user.attribute.labels מוזג כתווית עם המפתח "actor_user_type"
details.client.description principal.application הערך הועתק ישירות
details.client.encrypted principal.asset.attribute.labels הומר למחרוזת, מוזג כתווית עם המפתח "details_client_encrypted"
details.client.hostname principal.hostname, principal.asset.hostname הערך הועתק ישירות
details.client.id principal.user.product_object_id הערך הועתק ישירות
details.client.os principal.platform ההגדרה היא WINDOWS אם יש התאמה ל-(?i)Win|win;‏ LINUX אם יש התאמה ל-(?i)Lin|lin;‏ MAC אם יש התאמה ל-(?i)Mac|ios|mac;‏ ANDROID אם יש התאמה ל-(?i)Android|android
details.client.os principal.platform_version חולצו major.minor.patch ממחרוזת מערכת ההפעלה באמצעות grok
details.client.state principal.resource.attribute.labels מוזג כתווית עם המפתח client_state
details.client.user_name target.user.userid הערך הועתק ישירות
details.client_ip ‫principal.ip, ‏ principal.asset.ip כתובת ה-IP שחולצה באמצעות תבנית Grok
details.from_address ‫principal.ip, ‏ principal.asset.ip כתובת ה-IP שחולצה באמצעות תבנית Grok
details.project.create_server_users target.resource.attribute.labels הומרה למחרוזת, מוזגה כתווית עם המפתח "project_create_server_users"
details.project.force_shared_ssh_users target.resource.attribute.labels הומרה למחרוזת, מוזגה כתווית עם המפתח "project_force_shared_ssh_users"
details.project.forward_traffic target.resource.attribute.labels הומר למחרוזת, מוזג כתווית עם המפתח "project_forward_traffic"
details.project.id target.resource.id הערך הועתק ישירות
details.project.name target.resource.name הערך הועתק ישירות
details.project.next_unix_gid target.resource.attribute.labels הומר למחרוזת, מוזג כתווית עם המפתח "next_unix_gid"
details.project.next_unix_uid target.resource.attribute.labels הומר למחרוזת, מוזג כתווית עם המפתח "next_unix_uid"
details.project.rdp_session_recording target.resource.attribute.labels הומרה למחרוזת, מוזגה כתווית עם המפתח "project_rdp_session_recording"
details.project.require_preauth_for_creds target.resource.attribute.labels הומרה למחרוזת, מוזגה כתווית עם המפתח "project_require_preauth_for_creds"
details.project.ssh_certificate_type target.resource.attribute.labels מוזג כתווית עם המפתח "project_ssh_certificate_type"
details.project.ssh_session_recording target.resource.attribute.labels הומרה למחרוזת, מוזגה כתווית עם המפתח "project_ssh_session_recording"
details.project.team target.resource.attribute.labels מוזג כתווית עם המפתח "project_team"
details.server.alt_names target.hostname, target.asset.hostname, target.resource.attribute.labels הערך הראשון של alt_name מוגדר ל-target.hostname ול-target.asset.hostname, והערכים האחרים מוזגו כתוויות עם המפתח "alt_name"
details.server.hostname intermediary_value.hostname הערך הועתק ישירות
details.server.id intermediary_value.resource.attribute.labels מוזג כתווית עם המפתח details_server_id
details.server.os intermediary_value.platform_version הערך הועתק ישירות
details.server.os intermediary_value.resource.attribute.labels מוזג כתווית עם המפתח details_server_os
details.server.os_type intermediary_value.platform הגדרה ל-LINUX אם יש התאמה ל-(?i)linux; ל-WINDOWS אם יש התאמה ל-(?i)windows; ל-MAC אם יש התאמה ל-(?i)mac
details.server.services intermediary_value.resource.attribute.labels מוזגו כתוויות עם המפתח "server_services {index}"
details.server.source intermediary_value.resource.attribute.labels מוזג כתווית עם המפתח server_source
details.server.source_details.cloud_account intermediary_value.resource.attribute.labels מוזג כתווית עם המפתח server_source_details_cloud_account
details.server.source_details.cloud_provider intermediary_value.resource.attribute.labels מוזג כתווית עם המפתח "server_source_details_cloud_provider"
details.server.source_details.instance_id intermediary_value.resource.attribute.labels מוזג כתווית עם המפתח server_source_details_instance_id
details.server.state target.asset.attribute.labels הומרה למחרוזת, מוזגה כתווית עם המפתח "server_state"
details.server.team_name intermediary_value.user.department הערך הועתק ישירות
details.server_hostnames target.hostname, target.resource.attribute.labels שם המארח הראשון מוגדר כ-target.hostname, והשאר מוזגו כתוויות עם המפתח "server_hostname {index}"
details.server_id target.resource.attribute.labels מוזג כתווית עם המפתח details_server_id
details.server_os target.platform_version הערך הועתק ישירות
details.server_os_type target.platform הגדרה ל-LINUX אם יש התאמה ל-(?i)linux; ל-WINDOWS אם יש התאמה ל-(?i)windows; ל-MAC אם יש התאמה ל-(?i)mac
details.server_state target.resource.attribute.labels מוזג כתווית עם המפתח details_server_state
details.session_type extensions.auth.auth_details הערך הועתק ישירות
details.session_type security_result.detection_fields מוזג כתווית עם המפתח "session_type"
details.servers מתווך עובד ומוזג כאובייקט ביניים
details.ssh_algorithm network.tls.cipher הערך הועתק ישירות
details.ssh_key_fingerprint target.asset.attribute.labels מוזג כתווית עם המפתח "ssh_key_fingerprint"
details.ssh_public_key security_result.detection_fields מוזג כתווית עם המפתח "ssh_public_key"
details.target_server target.application הערך הועתק ישירות
details.team_id principal.resource.id הערך הועתק ישירות
details.team_id target.resource.id הערך הועתק ישירות
details.team_name additional.fields מוזג כתווית עם המפתח "team_name"
details.trace_id network.session_id הערך הועתק ישירות
details.type metadata.product_event_type הערך הועתק ישירות
details.username target.user.user_display_name הערך הועתק ישירות
details.via network.session_id הערך הועתק ישירות
details_server intermediary_value מעובד וממוזג כאובייקט intermediary_value
id additional.fields מוזג כתווית עם המפתח "id"
חותמת זמן metadata.event_timestamp ההמרה מתבצעת לפי פורמט ISO8601
extensions.auth.type extensions.auth.type צריך להגדיר את הערך "SSO" אם הערך של metadata.event_type הוא USER_LOGIN
intermediary_value מתווך מוזג מ-intermediary_value אם הוא לא ריק
has_principal_user metadata.event_type הערך מוגדר כ-USER_LOGIN אם has_principal_user ו-has_target_user או has_principal_user ו-has_target ו-details_type תואם להתחברות. אחרת, הערך מוגדר כ-USER_UNCATEGORIZED אם has_principal_user. אחרת, הערך מוגדר כ-STATUS_UPDATE אם has_principal
has_target_user metadata.event_type
metadata.product_name metadata.product_name צריך להגדיר את הערך "OKTA_SCALEFT"
metadata.vendor_name metadata.vendor_name צריך להגדיר את הערך "OKTA_SCALEFT"
desc event.idm.read_only_udm.metadata.description מופה מיומן השינויים
asset_id event.idm.read_only_udm.target.asset.asset_id מופה מיומן השינויים
details.hostname event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname מופה מיומן השינויים
details.actor event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
details.client event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname מופה מיומן השינויים
details.username event.idm.read_only_udm.target.user.user_display_name מופה מיומן השינויים
details.server.server_accounts.username event.idm.read_only_udm.target.user.user_display_name מופה מיומן השינויים
details.project event.idm.read_only_udm.target.resource.attribute.cloud.project.name מופה מיומן השינויים
details.server.server_accounts event.idm.read_only_udm.target.asset.attribute.labels מופה מיומן השינויים
"id" event.idm.read_only_udm.additional.fields מופה מיומן השינויים
"details.from_address" event.idm.read_only_udm.principal.ip מופה מיומן השינויים
"details.client_ip" event.idm.read_only_udm.principal.ip מופה מיומן השינויים
"details.from_address" event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
"details.client_ip" event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
"details.type" event.idm.read_only_udm.metadata.product_event_type מופה מיומן השינויים
"details.actor.status" event.idm.read_only_udm.principal.user.attribute.labels מופה מיומן השינויים
"details.actor.user_type" event.idm.read_only_udm.principal.user.attribute.labels מופה מיומן השינויים
"details.session_type" event.idm.read_only_udm.extensions.auth.auth_details מופה מיומן השינויים
"details.actor.name" event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
"details.unix_user_name" event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
"details.actor.details.full_name" event.idm.read_only_udm.principal.user.user_display_name מופה מיומן השינויים
"details.actor.details.first_name" event.idm.read_only_udm.principal.user.first_name מופה מיומן השינויים
"details.actor.details.last_name" event.idm.read_only_udm.principal.user.last_name מופה מיומן השינויים
"details.actor.id" event.idm.read_only_udm.principal.user.employee_id מופה מיומן השינויים
"details.actor.team_name" event.idm.read_only_udm.principal.user.department מופה מיומן השינויים
"details.client.hostname" event.idm.read_only_udm.principal.hostname מופה מיומן השינויים
"details.client.hostname" event.idm.read_only_udm.principal.asset.hostname מופה מיומן השינויים
"details.client.id" event.idm.read_only_udm.principal.user.product_object_id מופה מיומן השינויים
"details.client.description" event.idm.read_only_udm.principal.application מופה מיומן השינויים
"details.client.os" event.idm.read_only_udm.principal.platform מופה מיומן השינויים
"details_client_os" event.idm.read_only_udm.principal.platform_version מופה מיומן השינויים
"details.actor.details.email" event.idm.read_only_udm.principal.user.email_addresses מופה מיומן השינויים
"details.team_id" event.idm.read_only_udm.target.resource.id מופה מיומן השינויים
"details.project.id" event.idm.read_only_udm.target.resource.id מופה מיומן השינויים
"details.team_name" event.idm.read_only_udm.additional.fields מופה מיומן השינויים
"details.client.state" event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
"details.target_server" event.idm.read_only_udm.target.application מופה מיומן השינויים
"details.via" event.idm.read_only_udm.network.session_id מופה מיומן השינויים
"details.trace_id" event.idm.read_only_udm.network.session_id מופה מיומן השינויים
"details_session_type" event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
"details.ssh_public_key" event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
"details.actor.details.user_type" event.idm.read_only_udm.principal.user.attribute.roles מופה מיומן השינויים
"details.project.name" event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
"details.server.id" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.server.state" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.team" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.create_server_users" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.force_shared_ssh_users" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.forward_traffic" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.next_unix_gid" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.next_unix_uid" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.rdp_session_recording" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.require_preauth_for_creds" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.ssh_certificate_type" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.project.ssh_session_recording" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"serverhostname" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"alt_name" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.ssh_key_fingerprint" event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
"details.server.os" event.idm.read_only_udm.target.platform_version מופה מיומן השינויים
"detailsserver.os" event.idm.read_only_udm.target.platform_version מופה מיומן השינויים
"details.server.os_type" event.idm.read_only_udm.target.platform מופה מיומן השינויים
"detailsserver.os_type" event.idm.read_only_udm.target.platform מופה מיומן השינויים
"details_team_id" event.idm.read_only_udm.principal.resource.id מופה מיומן השינויים
"details.client.encrypted" event.idm.read_only_udm.principal.asset.attribute.labels מופה מיומן השינויים
"details.client.user_name" event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
"timestamp" event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
"serverhostname" event.idm.read_only_udm.target.hostname מופה מיומן השינויים
"alt_name" event.idm.read_only_udm.target.hostname מופה מיומן השינויים
"alt_name" event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
"intermediary" event.idm.read_only_udm.intermediary מופה מיומן השינויים
"intermediary_value" event.idm.read_only_udm.intermediary מופה מיומן השינויים
"detailsserver.sftd_version" event.idm.read_only_udm.metadata.product_version מופה מיומן השינויים
"details.server.sftd_version" event.idm.read_only_udm.metadata.product_version מופה מיומן השינויים
"detailsserver.state" event.idm.read_only_udm.target.asset.attribute.labels מופה מיומן השינויים
"detailsserver.managed" event.idm.read_only_udm.target.asset.attribute.labels מופה מיומן השינויים
"detailsserver.ssh_key_fingerprint" event.idm.read_only_udm.target.asset.attribute.labels מופה מיומן השינויים
"details.username" event.idm.read_only_udm.target.user.user_display_name מופה מיומן השינויים
"details.ssh_algorithm" event.idm.read_only_udm.network.tls.cipher מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.