Mengumpulkan log Okta Advanced Server Access

Didukung di:

Google SecOps SIEM

Catatan: Fitur ini tercakup dalam Persyaratan Penawaran Pra-GA dari Persyaratan Khusus Layanan Google Security Operations. Fitur pra-GA mungkin memiliki dukungan terbatas, dan perubahan pada fitur pra-GA mungkin tidak kompatibel dengan versi pra-GA lainnya. Untuk mengetahui informasi selengkapnya, lihat Panduan Layanan Dukungan Teknis Google SecOps dan Persyaratan Khusus Layanan Google SecOps.
Jika fitur ini tidak terlihat di lingkungan Anda, lihat Mengelola fitur pratinjau atau hubungi administrator sistem Anda.

Dokumen ini menjelaskan cara menyerap log Okta Advanced Server Access ke Google Security Operations menggunakan Google Cloud Storage V2.

Okta Advanced Server Access (sebelumnya ScaleFT) adalah solusi pengelolaan akses istimewa yang menyediakan akses SSH dan RDP ke server dengan sertifikat sementara dan logging audit yang komprehensif. Platform ini menyimpan peristiwa audit selama 90 hari dan menyediakan API untuk mengambil peristiwa ini untuk penyimpanan dan analisis jangka panjang di platform SIEM.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Project GCP dengan Cloud Storage, Cloud Run, Pub/Sub, dan Cloud Scheduler API yang diaktifkan
• Izin untuk membuat dan mengelola bucket GCS
• Izin untuk mengelola kebijakan IAM di bucket GCS
• Izin untuk membuat layanan Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
• Akses administrator ke tim Okta Advanced Server Access Anda
• Kemampuan untuk membuat pengguna layanan dan kunci API di Advanced Server Access

Mengonfigurasi akses API Okta Advanced Server Access

Agar Google SecOps dapat mengambil peristiwa audit, Anda harus membuat pengguna layanan dan membuat kunci API. Pengguna layanan adalah akun khusus yang dirancang untuk otomatisasi dan integrasi API.

Membuat pengguna layanan

1. Login ke dasbor Akses Server Lanjutan.
2. Buka Pengguna.
3. Pilih tab Pengguna Layanan.
4. Klik Create Service User.

5. Di kolom Nama pengguna, masukkan nama deskriptif untuk pengguna layanan (misalnya, chronicle-integration).

   Catatan: Sistem akan otomatis membuat nama pengguna Linux dan Windows yang sesuai berdasarkan nama pengguna yang Anda berikan.

6. Klik Create Service User.

Membuat kunci API

1. Di halaman detail pengguna layanan, klik Buat Kunci API.

2. Segera salin dan simpan kredensial berikut:

   • ID Kunci API: UUID yang mengidentifikasi kunci API (misalnya, 6052868b-1b04-4a14-8288-e6496d7f2f4b)
   • API Key Secret: String rahasia berenkode base64 yang digunakan untuk mengautentikasi permintaan API
   Catatan: Anda tidak dapat mengambil rahasia kunci API setelah menutup jendela ini. Jika Anda kehilangan informasi ini, Anda harus membuat kunci API baru.

3. Klik Done.

Tetapkan pengguna layanan ke grup dengan izin yang sesuai

Pengguna layanan harus menjadi anggota grup dengan peran yang sesuai di seluruh tim untuk mengakses Audits API.

1. Di dasbor Advanced Server Access, buka Groups.
2. Pilih grup yang ada atau buat grup baru untuk akses API.
3. Klik nama grup untuk membuka detail grup.
4. Pilih tab Pengguna.
5. Klik Add user.
6. Telusuri dan pilih pengguna layanan (misalnya, chronicle-integration).
7. Klik Tambahkan.
8. Pilih tab Peran.

9. Pastikan grup memiliki salah satu peran di seluruh tim berikut:

   • reporting_user: Akses hanya baca ke semua endpoint (direkomendasikan untuk penyerapan log)
   • access_admin: Akses administratif penuh (memberikan semua izin CRUD)
   Catatan: Untuk akses dengan hak istimewa terendah, gunakan peran reporting_user. Peran ini memberikan akses hanya baca ke peristiwa audit tanpa memberikan izin administratif.

10. Jika peran yang diperlukan tidak ditetapkan, klik Add Role, pilih reporting_user atau access_admin, lalu klik Save.

Memverifikasi izin

Untuk memverifikasi bahwa pengguna layanan memiliki izin yang diperlukan:

1. Di dasbor Advanced Server Access, buka Groups.
2. Klik grup yang berisi pengguna layanan (misalnya, chronicle-integration).
3. Pilih tab Roles.
4. Pastikan peran reporting_user atau access_admin tercantum.
5. Jika Anda tidak dapat melihat tab Peran, hubungi administrator Anda untuk memberikan akses yang sesuai.

Menguji akses API

• Uji kredensial Anda sebelum melanjutkan integrasi:

  # Replace with your actual credentials
  TEAM_NAME="your-team-name"
  KEY_ID="your-api-key-id"
  KEY_SECRET="your-api-key-secret"
  
  # Obtain bearer token
  TOKEN=$(curl -s -X POST "https://app.scaleft.com/v1/teams/${TEAM_NAME}/service_token" \
      -H "Content-Type: application/json" \
      -d "{\"key_id\": \"${KEY_ID}\", \"key_secret\": \"${KEY_SECRET}\"}" \
      | python3 -c "import sys,json; print(json.load(sys.stdin)['bearer_token'])")
  
  # Test audit events access
  curl -s -H "Authorization: Bearer ${TOKEN}" \
      "https://app.scaleft.com/v1/teams/${TEAM_NAME}/auditsV2?count=5" \
      | python3 -m json.tool
  

Respons yang berhasil akan menampilkan array JSON dari peristiwa audit terbaru.

Buat bucket Google Cloud Storage

1. Buka Konsol Google Cloud.
2. Pilih project Anda atau buat project baru.
3. Di menu navigasi, buka Cloud Storage > Buckets.
4. Klik Create bucket.

5. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Memberi nama bucket Anda	Masukkan nama yang unik secara global (misalnya, okta-asa-audit-logs)
   Location type	Pilih berdasarkan kebutuhan Anda (Region, Dual-region, Multi-region)
   Location	Pilih lokasi (misalnya, us-central1)
   Kelas penyimpanan	Standar (direkomendasikan untuk log yang sering diakses)
   Kontrol akses	Seragam (direkomendasikan)
   Alat perlindungan	Opsional: Mengaktifkan pembuatan versi objek atau kebijakan retensi

6. Klik Create.

Buat akun layanan untuk fungsi Cloud Run

1. Di Konsol GCP, buka IAM & Admin > Service Accounts.
2. Klik Create Service Account.
3. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan okta-asa-collector-sa
   • Deskripsi akun layanan: Masukkan Service account for Cloud Run function to collect Okta Advanced Server Access audit logs
4. Klik Create and Continue.
5. Di bagian Grant this service account access to project, tambahkan peran berikut:
   1. Klik Pilih peran.
   2. Telusuri dan pilih Storage Object Admin.
   3. Klik + Add another role.
   4. Telusuri dan pilih Cloud Run Invoker.
   5. Klik + Add another role.
   6. Telusuri dan pilih Cloud Functions Invoker.
6. Klik Lanjutkan.
7. Klik Done.

Memberikan izin IAM pada bucket GCS

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda (okta-asa-audit-logs).
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Masukkan email akun layanan (okta-asa-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
   • Menetapkan peran: Pilih Storage Object Admin
6. Klik Simpan.

Membuat topik Pub/Sub

1. Di Konsol GCP, buka Pub/Sub > Topics.
2. Klik Create topic.
3. Berikan detail konfigurasi berikut:
   • ID Topik: Masukkan okta-asa-audit-trigger
   • Biarkan setelan lainnya sesuai default
4. Klik Create.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run akan dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil log dari Okta Advanced Server Access Audits API dan menuliskannya ke GCS.

1. Di Konsol GCP, buka Cloud Run.
2. Klik Create service.
3. Pilih Function (gunakan editor inline untuk membuat fungsi).

4. Di bagian Configure, berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama layanan	okta-asa-collector
   Region	Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
   Runtime	Pilih Python 3.12 atau yang lebih baru

5. Di bagian Pemicu (opsional):

   1. Klik + Tambahkan pemicu.
   2. Pilih Cloud Pub/Sub.
   3. Di Select a Cloud Pub/Sub topic, pilih okta-asa-audit-trigger.
   4. Klik Simpan.

6. Di bagian Authentication:

   1. Pilih Wajibkan autentikasi.
   2. Periksa Identity and Access Management (IAM).
   Catatan: Pub/Sub akan otomatis menangani autentikasi saat memanggil fungsi.

7. Scroll ke bawah dan luaskan Containers, Networking, Security.

8. Buka tab Security:

   • Akun layanan: Pilih okta-asa-collector-sa

9. Buka tab Containers:

   1. Klik Variables & Secrets.
   2. Klik + Add variable untuk setiap variabel lingkungan:

   Nama Variabel	Nilai Contoh	Deskripsi
   GCS_BUCKET	okta-asa-audit-logs	Nama bucket GCS
   GCS_PREFIX	okta-asa-audit	Awalan untuk file log
   STATE_KEY	okta-asa-audit/state.json	Jalur file status
   ASA_TEAM_NAME	your-team-name	Nama tim Advanced Server Access
   ASA_KEY_ID	your-api-key-id	ID kunci API pengguna layanan
   ASA_KEY_SECRET	your-api-key-secret	Secret kunci API pengguna layanan
   MAX_RECORDS	5000	Jumlah data maks per proses
   PAGE_SIZE	1000	Kumpulan data per halaman API (maks. 1000)
   LOOKBACK_HOURS	24	Periode lihat balik awal

10. Di bagian Variables & Secrets, scroll ke bawah ke Requests:

    • Waktu tunggu permintaan: Masukkan 600 detik (10 menit)

11. Buka tab Setelan:

    • Di bagian Referensi:
      • Memori: Pilih 512 MiB atau lebih tinggi
      • CPU: Pilih 1

12. Di bagian Penskalaan revisi:

    • Minimum number of instances: Masukkan 0
    • Maximum number of instances: Masukkan 100

13. Klik Create.

14. Tunggu hingga layanan dibuat (1-2 menit).

15. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

1. Masukkan main di kolom Entry point.

2. Di editor kode inline, buat dua file:

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     import time
     
     http = urllib3.PoolManager(
       timeout=urllib3.Timeout(connect=10.0, read=60.0),
       retries=False,
     )
     
     storage_client = storage.Client()
     
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'okta-asa-audit')
     STATE_KEY = os.environ.get('STATE_KEY', 'okta-asa-audit/state.json')
     ASA_TEAM_NAME = os.environ.get('ASA_TEAM_NAME')
     ASA_KEY_ID = os.environ.get('ASA_KEY_ID')
     ASA_KEY_SECRET = os.environ.get('ASA_KEY_SECRET')
     MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     
     ASA_API_BASE = 'https://app.scaleft.com'
     
     @functions_framework.cloud_event
     def main(cloud_event):
       if not all([GCS_BUCKET, ASA_TEAM_NAME, ASA_KEY_ID, ASA_KEY_SECRET]):
         print('Error: Missing required environment variables')
         return
     
       try:
         bucket = storage_client.bucket(GCS_BUCKET)
         state = load_state(bucket)
         now = datetime.now(timezone.utc)
     
         if isinstance(state, dict) and state.get('last_offset'):
           last_offset = state['last_offset']
         else:
           last_offset = None
     
         print(f"Starting audit log collection (last_offset={last_offset})")
     
         token = get_bearer_token()
     
         records, newest_offset = fetch_audit_events(
           token=token,
           last_offset=last_offset,
           page_size=PAGE_SIZE,
           max_records=MAX_RECORDS,
         )
     
         if not records:
           print("No new audit records found.")
           return
     
         timestamp = now.strftime('%Y%m%d_%H%M%S')
         object_key = f"{GCS_PREFIX}/okta_asa_audit_{timestamp}.ndjson"
         blob = bucket.blob(object_key)
     
         ndjson = '\n'.join(
           [json.dumps(record, ensure_ascii=False) for record in records]
         ) + '\n'
         blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
         print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")
     
         if newest_offset:
           save_state(bucket, newest_offset)
     
         print(f"Successfully processed {len(records)} records")
     
       except Exception as e:
         print(f'Error processing logs: {str(e)}')
         raise
     
     def get_bearer_token():
       url = f"{ASA_API_BASE}/v1/teams/{ASA_TEAM_NAME}/service_token"
       body = json.dumps({
         'key_id': ASA_KEY_ID,
         'key_secret': ASA_KEY_SECRET
       }).encode('utf-8')
     
       response = http.request(
         'POST', url,
         body=body,
         headers={'Content-Type': 'application/json'}
       )
     
       if response.status != 200:
         raise Exception(
           f"Service token request failed: {response.status} - "
           f"{response.data.decode('utf-8')}"
         )
     
       data = json.loads(response.data.decode('utf-8'))
       token = data.get('bearer_token')
       if not token:
         raise Exception("No bearer_token in service token response")
     
       print("Successfully obtained ASA bearer token")
       return token
     
     def fetch_audit_events(token, last_offset, page_size, max_records):
       endpoint = f"{ASA_API_BASE}/v1/teams/{ASA_TEAM_NAME}/auditsV2"
     
       headers = {
         'Authorization': f'Bearer {token}',
         'Accept': 'application/json',
       }
     
       records = []
       page_num = 0
       backoff = 1.0
       current_offset = last_offset
     
       while True:
         page_num += 1
     
         if len(records) >= max_records:
           print(f"Reached max_records limit ({max_records})")
           break
     
         params = [f"count={page_size}"]
         if current_offset:
           params.append(f"offset={current_offset}")
     
         url = f"{endpoint}?{'&'.join(params)}"
     
         try:
           response = http.request('GET', url, headers=headers)
     
           if response.status == 429:
             retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
             print(f"Rate limited (429). Retrying after {retry_after}s...")
             time.sleep(retry_after)
             backoff = min(backoff * 2, 30.0)
             continue
     
           backoff = 1.0
     
           if response.status == 401:
             print("Token expired (401). Refreshing bearer token...")
             token = get_bearer_token()
             headers['Authorization'] = f'Bearer {token}'
             continue
     
           if response.status != 200:
             print(f"HTTP Error: {response.status}")
             response_text = response.data.decode('utf-8')
             print(f"Response body: {response_text}")
             return records, current_offset
     
           data = json.loads(response.data.decode('utf-8'))
     
           page_results = data.get('list', [])
     
           if not page_results:
             print(f"No more results (empty page)")
             break
     
           print(f"Page {page_num}: Retrieved {len(page_results)} events")
           records.extend(page_results)
     
           # Extract next offset from Link header for pagination
           link_header = response.headers.get('Link', '')
           next_offset = extract_next_offset(link_header)
     
           if next_offset:
             current_offset = next_offset
           else:
             print("No more pages (no next link)")
             break
     
         except Exception as e:
           print(f"Error fetching audit events: {e}")
           return records, current_offset
     
       print(f"Retrieved {len(records)} total records from {page_num} pages")
       return records, current_offset
     
     def extract_next_offset(link_header):
       if not link_header:
         return None
     
       parts = link_header.split(',')
       for part in parts:
         if 'rel="next"' in part:
           url_part = part.split(';')[0].strip().strip('<>')
           if 'offset=' in url_part:
             for param in url_part.split('?')[-1].split('&'):
               if param.startswith('offset='):
                 return param.split('=', 1)[1]
       return None
     
     def load_state(bucket):
       try:
         blob = bucket.blob(STATE_KEY)
         if blob.exists():
           return json.loads(blob.download_as_text())
       except Exception as e:
         print(f"Warning: Could not load state: {e}")
       return {}
     
     def save_state(bucket, last_offset):
       try:
         state = {
           'last_offset': last_offset,
           'last_run': datetime.now(timezone.utc).isoformat()
         }
         blob = bucket.blob(STATE_KEY)
         blob.upload_from_string(
           json.dumps(state, indent=2),
           content_type='application/json'
         )
         print(f"Saved state: last_offset={last_offset}")
       except Exception as e:
         print(f"Warning: Could not save state: {e}")
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

4. Tunggu hingga deployment selesai (2-3 menit).

   Catatan: Konfigurasi pemicu Pub/Sub akan otomatis membuat langganan dan izin yang diperlukan.

Buat tugas Cloud Scheduler

1. Di Konsol GCP, buka Cloud Scheduler.
2. Klik Create Job.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama	okta-asa-collector-hourly
   Region	Pilih region yang sama dengan fungsi Cloud Run
   Frekuensi	0 * * * * (setiap jam, tepat pada waktunya)
   Zona Waktu	Pilih zona waktu (disarankan UTC)
   Jenis target	Pub/Sub
   Topik	Pilih okta-asa-audit-trigger
   Isi pesan	{} (objek JSON kosong)

4. Klik Create.

Opsi frekuensi jadwal

Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

Frekuensi	Ekspresi Cron	Kasus Penggunaan
Setiap 5 menit	*/5 * * * *	Volume tinggi, latensi rendah
Setiap 15 menit	*/15 * * * *	Volume sedang
Setiap jam	0 * * * *	Standar (direkomendasikan)
Setiap 6 jam	0 */6 * * *	Volume rendah, pemrosesan batch
Harian	0 0 * * *	Pengumpulan data historis

Menguji integrasi

1. Di konsol Cloud Scheduler, temukan tugas Anda (okta-asa-collector-hourly).
2. Klik Force run untuk memicu tugas secara manual.
3. Tunggu beberapa detik.
4. Buka Cloud Run > Services.
5. Klik okta-asa-collector.
6. Klik tab Logs.

7. Pastikan fungsi berhasil dieksekusi. Cari:

   Starting audit log collection (last_offset=None)
   Successfully obtained ASA bearer token
   Page 1: Retrieved X events
   Wrote X records to gs://okta-asa-audit-logs/okta-asa-audit/okta_asa_audit_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. Buka Cloud Storage > Buckets.

9. Klik okta-asa-audit-logs.

10. Buka folder okta-asa-audit/.

11. Pastikan file .ndjson baru dibuat dengan stempel waktu saat ini.

Jika Anda melihat error dalam log:

• HTTP 401: Pastikan variabel lingkungan ASA_KEY_ID dan ASA_KEY_SECRET sudah benar
• HTTP 403: Pastikan pengguna layanan memiliki peran reporting_user atau access_admin
• HTTP 429: Pembatasan kecepatan — fungsi akan otomatis mencoba lagi dengan backoff eksponensial
• Variabel lingkungan tidak ada: Pastikan semua variabel yang diperlukan ditetapkan dalam konfigurasi fungsi Cloud Run

Mengambil akun layanan Google SecOps

1. Buka SIEM Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Okta ASA Audit Logs).
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih Okta Advanced Server Access sebagai Jenis log.
7. Klik Get Service Account.

8. Email akun layanan yang unik akan ditampilkan. Contoh:

   [e-mail]
   

9. Salin alamat email ini untuk digunakan di langkah berikutnya.

   Catatan: Setiap instance Google SecOps memiliki akun layanan yang unik. Jangan gunakan akun layanan dari dokumentasi atau contoh lain.

10. Klik Berikutnya.

11. Tentukan nilai untuk parameter input berikut:

    • URL bucket penyimpanan: Masukkan URI bucket GCS dengan jalur awalan:

      gs://okta-asa-audit-logs/okta-asa-audit/
      

    Catatan: Selalu sertakan garis miring (/) di akhir URI.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Never: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Delete transferred files: Menghapus file setelah transfer berhasil.

      • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil.

        Catatan: Jika Anda memilih opsi penghapusan, akun layanan harus memiliki peran Storage Object Admin, bukan Storage Object Viewer. Perbarui izin IAM yang sesuai.

    • Maximum File Age: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)

    • Namespace aset: Namespace aset

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

12. Klik Berikutnya.

13. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Memberikan izin IAM ke akun layanan Google SecOps

1. Buka Cloud Storage > Buckets.
2. Klik okta-asa-audit-logs.
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Tempel email akun layanan Google SecOps
   • Tetapkan peran: Pilih Storage Object Viewer

6. Klik Simpan.

   Catatan: Jika Anda berencana menggunakan opsi penghapusan "Hapus file yang ditransfer" atau "Hapus file yang ditransfer dan direktori kosong", berikan peran Storage Object Admin, bukan Storage Object Viewer.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
details.actor.details.email	principal.user.email_addresses	Nilai disalin secara langsung
details.actor.details.first_name	principal.user.first_name	Nilai disalin secara langsung
details.actor.details.full_name	principal.user.user_display_name	Nilai disalin langsung
details.actor.details.last_name	principal.user.last_name	Nilai disalin secara langsung
details.actor.details.user_type	principal.user.attribute.roles	Nilai disalin langsung
details.actor.id	principal.user.employee_id	Nilai disalin secara langsung
details.actor.name	principal.user.userid	Nilai dari details.actor.name jika tidak kosong, atau details.unix_user_name
details.unix_user_name	principal.user.userid
details.actor.status	principal.user.attribute.labels	Digabungkan sebagai label dengan kunci "actor_status"
details.actor.team_name	principal.user.department	Nilai disalin secara langsung
details.actor.user_type	principal.user.attribute.labels	Digabungkan sebagai label dengan kunci "actor_user_type"
details.client.description	principal.application	Nilai disalin secara langsung
details.client.encrypted	principal.asset.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "details_client_encrypted"
details.client.hostname	principal.hostname, principal.asset.hostname	Nilai disalin langsung
details.client.id	principal.user.product_object_id	Nilai disalin secara langsung
details.client.os	principal.platform	Setel ke WINDOWS jika cocok dengan (?i)Win|win; LINUX jika cocok dengan (?i)Lin|lin; MAC jika cocok dengan (?i)Mac|ios|mac; ANDROID jika cocok dengan (?i)Android|android
details.client.os	principal.platform_version	Mengekstrak major.minor.patch dari string os menggunakan grok
details.client.state	principal.resource.attribute.labels	Digabungkan sebagai label dengan kunci "client_state"
details.client.user_name	target.user.userid	Nilai disalin secara langsung
details.client_ip	principal.ip, principal.asset.ip	IP yang diekstrak menggunakan pola grok
details.from_address	principal.ip, principal.asset.ip	IP yang diekstrak menggunakan pola grok
details.project.create_server_users	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "project_create_server_users"
details.project.force_shared_ssh_users	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "project_force_shared_ssh_users"
details.project.forward_traffic	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "project_forward_traffic"
details.project.id	target.resource.id	Nilai disalin langsung
details.project.name	target.resource.name	Nilai disalin secara langsung
details.project.next_unix_gid	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "next_unix_gid"
details.project.next_unix_uid	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "next_unix_uid"
details.project.rdp_session_recording	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "project_rdp_session_recording"
details.project.require_preauth_for_creds	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "project_require_preauth_for_creds"
details.project.ssh_certificate_type	target.resource.attribute.labels	Digabungkan sebagai label dengan kunci "project_ssh_certificate_type"
details.project.ssh_session_recording	target.resource.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "project_ssh_session_recording"
details.project.team	target.resource.attribute.labels	Digabungkan sebagai label dengan kunci "project_team"
details.server.alt_names	target.hostname, target.asset.hostname, target.resource.attribute.labels	alt_name pertama ditetapkan ke target.hostname dan target.asset.hostname, yang lainnya digabungkan sebagai label dengan kunci "alt_name"
details.server.hostname	intermediary_value.hostname	Nilai disalin secara langsung
details.server.id	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "details_server_id"
details.server.os	intermediary_value.platform_version	Nilai disalin secara langsung
details.server.os	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "details_server_os"
details.server.os_type	intermediary_value.platform	Tetapkan ke LINUX jika cocok dengan (?i)linux; WINDOWS jika cocok dengan (?i)windows; MAC jika cocok dengan (?i)mac
details.server.services	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "server_services {index}"
details.server.source	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "server_source"
details.server.source_details.cloud_account	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "server_source_details_cloud_account"
details.server.source_details.cloud_provider	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "server_source_details_cloud_provider"
details.server.source_details.instance_id	intermediary_value.resource.attribute.labels	Digabungkan sebagai label dengan kunci "server_source_details_instance_id"
details.server.state	target.asset.attribute.labels	Dikonversi menjadi string, digabungkan sebagai label dengan kunci "server_state"
details.server.team_name	intermediary_value.user.department	Nilai disalin langsung
details.server_hostnames	target.hostname, target.resource.attribute.labels	Nama host pertama ditetapkan ke target.hostname, nama host lainnya digabungkan sebagai label dengan kunci "server_hostname {index}"
details.server_id	target.resource.attribute.labels	Digabungkan sebagai label dengan kunci "details_server_id"
details.server_os	target.platform_version	Nilai disalin secara langsung
details.server_os_type	target.platform	Ditetapkan ke LINUX jika cocok dengan (?i)linux; WINDOWS jika cocok dengan (?i)windows; MAC jika cocok dengan (?i)mac
details.server_state	target.resource.attribute.labels	Digabungkan sebagai label dengan kunci "details_server_state"
details.session_type	extensions.auth.auth_details	Nilai disalin langsung
details.session_type	security_result.detection_fields	Digabungkan sebagai label dengan kunci "session_type"
details.servers	intermediary	Diproses dan digabungkan sebagai objek perantara
details.ssh_algorithm	network.tls.cipher	Nilai disalin secara langsung
details.ssh_key_fingerprint	target.asset.attribute.labels	Digabungkan sebagai label dengan kunci "ssh_key_fingerprint"
details.ssh_public_key	security_result.detection_fields	Digabungkan sebagai label dengan kunci "ssh_public_key"
details.target_server	target.application	Nilai disalin langsung
details.team_id	principal.resource.id	Nilai disalin secara langsung
details.team_id	target.resource.id	Nilai disalin langsung
details.team_name	additional.fields	Digabungkan sebagai label dengan kunci "team_name"
details.trace_id	network.session_id	Nilai disalin langsung
details.type	metadata.product_event_type	Nilai disalin secara langsung
details.username	target.user.user_display_name	Nilai disalin secara langsung
details.via	network.session_id	Nilai disalin secara langsung
details_server	intermediary_value	Diproses dan digabungkan sebagai objek intermediary_value
id	additional.fields	Digabungkan sebagai label dengan kunci "id"
timestamp	metadata.event_timestamp	Dikonversi menggunakan format ISO8601
extensions.auth.type	extensions.auth.type	Tetapkan ke "SSO" jika metadata.event_type adalah USER_LOGIN
intermediary_value	perantara	Digabungkan dari intermediary_value jika tidak kosong
has_principal_user	metadata.event_type	Ditetapkan ke USER_LOGIN jika has_principal_user dan has_target_user atau has_principal_user dan has_target serta details_type cocok dengan login; atau USER_UNCATEGORIZED jika has_principal_user; atau STATUS_UPDATE jika has_principal
has_target_user	metadata.event_type
metadata.product_name	metadata.product_name	Tetapkan ke "OKTA_SCALEFT"
metadata.vendor_name	metadata.vendor_name	Tetapkan ke "OKTA_SCALEFT"
desc	event.idm.read_only_udm.metadata.description	Dipetakan dari log perubahan
asset_id	event.idm.read_only_udm.target.asset.asset_id	Dipetakan dari log perubahan
details.hostname	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
details.actor	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
details.client	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
details.username	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
details.server.server_accounts.username	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
details.project	event.idm.read_only_udm.target.resource.attribute.cloud.project.name	Dipetakan dari log perubahan
details.server.server_accounts	event.idm.read_only_udm.target.asset.attribute.labels	Dipetakan dari log perubahan
"id"	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
"details.from_address"	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
"details.client_ip"	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
"details.from_address"	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
"details.client_ip"	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
"details.type"	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
"details.actor.status"	event.idm.read_only_udm.principal.user.attribute.labels	Dipetakan dari log perubahan
"details.actor.user_type"	event.idm.read_only_udm.principal.user.attribute.labels	Dipetakan dari log perubahan
"details.session_type"	event.idm.read_only_udm.extensions.auth.auth_details	Dipetakan dari log perubahan
"details.actor.name"	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
"details.unix_user_name"	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
"details.actor.details.full_name"	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
"details.actor.details.first_name"	event.idm.read_only_udm.principal.user.first_name	Dipetakan dari log perubahan
"details.actor.details.last_name"	event.idm.read_only_udm.principal.user.last_name	Dipetakan dari log perubahan
"details.actor.id"	event.idm.read_only_udm.principal.user.employee_id	Dipetakan dari log perubahan
"details.actor.team_name"	event.idm.read_only_udm.principal.user.department	Dipetakan dari log perubahan
"details.client.hostname"	event.idm.read_only_udm.principal.hostname	Dipetakan dari log perubahan
"details.client.hostname"	event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
"details.client.id"	event.idm.read_only_udm.principal.user.product_object_id	Dipetakan dari log perubahan
"details.client.description"	event.idm.read_only_udm.principal.application	Dipetakan dari log perubahan
"details.client.os"	event.idm.read_only_udm.principal.platform	Dipetakan dari log perubahan
"details_client_os"	event.idm.read_only_udm.principal.platform_version	Dipetakan dari log perubahan
"details.actor.details.email"	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
"details.team_id"	event.idm.read_only_udm.target.resource.id	Dipetakan dari log perubahan
"details.project.id"	event.idm.read_only_udm.target.resource.id	Dipetakan dari log perubahan
"details.team_name"	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
"details.client.state"	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
"details.target_server"	event.idm.read_only_udm.target.application	Dipetakan dari log perubahan
"details.via"	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
"details.trace_id"	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
"details_session_type"	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
"details.ssh_public_key"	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
"details.actor.details.user_type"	event.idm.read_only_udm.principal.user.attribute.roles	Dipetakan dari log perubahan
"details.project.name"	event.idm.read_only_udm.target.resource.name	Dipetakan dari log perubahan
"details.server.id"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.server.state"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.team"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.create_server_users"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.force_shared_ssh_users"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.forward_traffic"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.next_unix_gid"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.next_unix_uid"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.rdp_session_recording"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.require_preauth_for_creds"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.ssh_certificate_type"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.project.ssh_session_recording"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"serverhostname"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"alt_name"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.ssh_key_fingerprint"	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
"details.server.os"	event.idm.read_only_udm.target.platform_version	Dipetakan dari log perubahan
"detailsserver.os"	event.idm.read_only_udm.target.platform_version	Dipetakan dari log perubahan
"details.server.os_type"	event.idm.read_only_udm.target.platform	Dipetakan dari log perubahan
"detailsserver.os_type"	event.idm.read_only_udm.target.platform	Dipetakan dari log perubahan
"details_team_id"	event.idm.read_only_udm.principal.resource.id	Dipetakan dari log perubahan
"details.client.encrypted"	event.idm.read_only_udm.principal.asset.attribute.labels	Dipetakan dari log perubahan
"details.client.user_name"	event.idm.read_only_udm.target.user.userid	Dipetakan dari log perubahan
"timestamp"	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
"serverhostname"	event.idm.read_only_udm.target.hostname	Dipetakan dari log perubahan
"alt_name"	event.idm.read_only_udm.target.hostname	Dipetakan dari log perubahan
"alt_name"	event.idm.read_only_udm.target.asset.hostname	Dipetakan dari log perubahan
"intermediary"	event.idm.read_only_udm.intermediary	Dipetakan dari log perubahan
"intermediary_value"	event.idm.read_only_udm.intermediary	Dipetakan dari log perubahan
"detailsserver.sftd_version"	event.idm.read_only_udm.metadata.product_version	Dipetakan dari log perubahan
"details.server.sftd_version"	event.idm.read_only_udm.metadata.product_version	Dipetakan dari log perubahan
"detailsserver.state"	event.idm.read_only_udm.target.asset.attribute.labels	Dipetakan dari log perubahan
"detailsserver.managed"	event.idm.read_only_udm.target.asset.attribute.labels	Dipetakan dari log perubahan
"detailsserver.ssh_key_fingerprint"	event.idm.read_only_udm.target.asset.attribute.labels	Dipetakan dari log perubahan
"details.username"	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
"details.ssh_algorithm"	event.idm.read_only_udm.network.tls.cipher	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.