Raccogli i log di Okta
Supportata in:
Google SecOps
SIEM
Questo documento spiega come importare i log di Okta in Google Security Operations utilizzando l'API Okta. Il parser estrae i log di sistema, gestendo sia i singoli eventi sia gli eventi raggruppati in batch all'interno di un array JSON. Normalizza i dati nel formato UDM, mappando i campi Okta agli equivalenti UDM, arricchendo i dati con user agent analizzati, informazioni geografiche e dettagli di autenticazione e generando eventi di risultati di sicurezza in base ai risultati e alle informazioni sui rischi.
Prima di iniziare
- Istanza Google SecOps
- Accesso privilegiato a Okta
Come configurare Okta
Per configurare l'SSO di Okta, completa le seguenti attività:
Crea un utente amministrativo Okta con privilegi di sola lettura
- Accedi alla console di amministrazione Okta.
Crea un utente standard.
- Vai a Directory > Persone.
- Fai clic su Aggiungi persona e compila i campi obbligatori.
Seleziona Sicurezza > Amministratori.
Fai clic su Aggiungi amministratore.
Nel campo Administrator assignment by admin (Assegnazione amministratore da parte dell'amministratore), individua l'utente standard.
Nella sezione Ruoli, seleziona Amministratore con accesso di sola lettura dall'elenco.
Esci dall'account amministratore.
Recupera chiave API
- Accedi alla Console di amministrazione Okta con l'utente amministratore di sola lettura.
- Vai a Sicurezza > API > Token.
- Fai clic su Crea token.
- Fornisci un nome significativo per il token.
- Fornisci la zona IP in cui verrà utilizzata l'API (se non sai quale scegliere, puoi selezionare Qualsiasi IP).
- Fai clic su Crea token.
- Copia la chiave API.
- Fai clic su Ok, ho capito.
Configura i feed
Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:
- Impostazioni > Gestione dei dati > Feed > Aggiungi nuovo feed (sulla piattaforma solo SIEM, Impostazioni > Feed > Aggiungi nuovo feed)
- Hub dei contenuti > Pacchetti di contenuti > Inizia
Come configurare il feed Okta
Per configurare questo tipo di log, segui questi passaggi:
- Fai clic sul pacchetto Okta.
- Individua il tipo di log Okta.
Specifica i valori per i seguenti campi:
- Tipo di origine: API di terze parti (consigliato)
- Intestazione HTTP di autenticazione: inserisci la chiave API Okta nel seguente formato:
Authorization:<API_KEY>. - Nome host API: specifica il nome di dominio del tuo host Okta (ad esempio,
<your-domain>.okta.com). - Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
- Etichette di importazione: l'etichetta applicata agli eventi di questo feed.
Opzioni avanzate
- Nome del feed: un valore precompilato che identifica il feed.
- Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
- Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.
Fai clic su Crea feed.
Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.
Tabella di mappatura UDM
| Campo log | Mappatura UDM | Logica |
|---|---|---|
user_email |
event.idm.read_-only_udm.network.email.from |
Mappato dal log delle modifiche |
debugContext.debugData.zoneData.cidr_ip |
event.idm.read_only_udm.target.ip |
Mappato dal log delle modifiche |
debugContext.debugData.zoneData.cidr_ip |
event.idm.read_only_udm.target.asset.ip |
Mappato dal log delle modifiche |
debugContext.debugData.zoneData.range |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
debugContext.debugData.zoneData.CIDR |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
debugContext.debugData.requestId |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
debugContext.debugData.targetEventHookIds |
event.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
id |
event1.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
details.type |
event1.idm.read_only_udm.metadata.product_event_type |
Mappato dal log delle modifiche |
details.actor.name |
event1.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
details.actor.details.full_name |
event1.idm.read_only_udm.principal.user.user_display_name |
Mappato dal log delle modifiche |
details.actor.details.first_name |
event1.idm.read_only_udm.principal.user.first_name |
Mappato dal log delle modifiche |
details.actor.details.last_name |
event1.idm.read_only_udm.principal.user.last_name |
Mappato dal log delle modifiche |
details.actor.id |
event1.idm.read_only_udm.principal.user.employee_id |
Mappato dal log delle modifiche |
details.client.hostname |
event1.idm.read_only_udm.principal.hostname |
Mappato dal log delle modifiche |
details.client.hostname |
event1.idm.read_only_udm.principal.asset.hostname |
Mappato dal log delle modifiche |
details.client.id |
event1.idm.read_only_udm.principal.user.product_object_id |
Mappato dal log delle modifiche |
details.client.description |
event1.idm.read_only_udm.principal.application |
Mappato dal log delle modifiche |
details.client.os |
event1.idm.read_only_udm.principal.platform |
Mappato dal log delle modifiche |
details.client.os |
event1.idm.read_only_udm.principal.platform_version |
Mappato dal log delle modifiche |
details.team_id |
event1.idm.read_only_udm.target.resource.id |
Mappato dal log delle modifiche |
details.team_id |
event1.idm.read_only_udm.principal.resource.id |
Mappato dal log delle modifiche |
details.team_name |
event1.idm.read_only_udm.additional.fields |
Mappato dal log delle modifiche |
details.client.state |
event1.idm.read_only_udm.principal.resource.attribute.labels |
Mappato dal log delle modifiche |
details.target_server |
event1.idm.read_only_udm.target.application |
Mappato dal log delle modifiche |
details.via |
event1.idm.read_only_udm.network.session_id |
Mappato dal log delle modifiche |
details_session_type |
event1.idm.read_only_udm.security_result.detection_fields |
Mappato dal log delle modifiche |
details.actor.details.user_type |
event1.idm.read_only_udm.principal.user.attribute.roles |
Mappato dal log delle modifiche |
details.trace_id |
event1.idm.read_only_udm.network.session_id |
Mappato dal log delle modifiche |
details.client.encrypted |
event1.idm.read_only_udm.principal.asset.attribute.labels |
Mappato dal log delle modifiche |
details.client.user_name |
event1.idm.read_only_udm.target.user.userid |
Mappato dal log delle modifiche |
details.client_ip |
event1.idm.read_only_udm.principal.ip |
Mappato dal log delle modifiche |
details.client_ip |
event1.idm.read_only_udm.principal.asset.ip |
Mappato dal log delle modifiche |
details.project.id |
event1.idm.read_only_udm.target.resource.id |
Mappato dal log delle modifiche |
details.project.team |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.create_server_users |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.force_shared_ssh_users |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.forward_traffic |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.rdp_session_recording |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.require_preauth_for_creds |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.ssh_certificate_type |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.ssh_session_recording |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.next_unix_gid |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.project.next_unix_uid |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server_hostnames |
event1.idm.read_only_udm.target.hostname |
Mappato dal log delle modifiche |
details.server_hostnames |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
server_cloud_provider |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_instance_type |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_network |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_project_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_zone_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
detailsserver_os |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_services |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_sftd_version |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_source |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.cloud_provider |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.instance_details._type |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.instance_details.instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.instance_details.internal_ip |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.instance_details.network |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.instance_details.project_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.os |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.source |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.project_name |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.source_details.cloud_account |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.source_details.cloud_provider |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.source_details.instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.cloud_provider |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.instance_details._type |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.instance_details.instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.instance_details.internal_ip |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.instance_details.network |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.instance_details.project_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.os |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.source |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.project_name |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.source_details.cloud_account |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.source_details.cloud_provider |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.source_details.instance_id |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
server_source_details |
event1.idm.read_only_udm.intermediary.resource.attribute.labels |
Mappato dal log delle modifiche |
detailsserver.team_name |
event1.idm.read_only_udm.intermediary.user.department |
Mappato dal log delle modifiche |
details.username |
event1.idm.read_only_udm.target.user.user_display_name |
Mappato dal log delle modifiche |
details.ssh_key_fingerprint |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.unix_user_name |
event1.idm.read_only_udm.principal.user.userid |
Mappato dal log delle modifiche |
details.ssh_algorithm |
event1.idm.read_only_udm.network.tls.cipher |
Mappato dal log delle modifiche |
details.servers.alt_names |
event1.idm.read_only_udm.target.hostname |
Mappato dal log delle modifiche |
details.servers.alt_names |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.server.alt_names |
event1.idm.read_only_udm.target.hostname |
Mappato dal log delle modifiche |
details.server.alt_names |
event1.idm.read_only_udm.target.resource.attribute.labels |
Mappato dal log delle modifiche |
details.servers.access_address |
event1.idm.read_only_udm.intermediary.ip |
Mappato dal log delle modifiche |
details.server.access_address |
event1.idm.read_only_udm.intermediary.ip |
Mappato dal log delle modifiche |
details.servers.external_ip |
event1.idm.read_only_udm.intermediary.ip |
Mappato dal log delle modifiche |
details.server.external_ip |
event1.idm.read_only_udm.intermediary.ip |
Mappato dal log delle modifiche |
details.server.sftd_version |
event1.idm.read_only_udm.metadata.product_version |
Mappato dal log delle modifiche |
details.servers.sftd_version |
event1.idm.read_only_udm.metadata.product_version |
Mappato dal log delle modifiche |
details.server.instance_details.zone_id |
event1.idm.read_only_udm.intermediary.location.country_or_region |
Mappato dal log delle modifiche |
details.servers.instance_details.zone_id |
event1.idm.read_only_udm.intermediary.location.country_or_region |
Mappato dal log delle modifiche |
debugContext.debugData.authType" and "debugContext.debugData.factorType |
additional.fields |
Mappato dal log delle modifiche |
risk.level |
security_result.severity_details |
Mappato dal log delle modifiche |
risk.reasons |
security_result.description |
Mappato dal log delle modifiche |
actor.displayName" and "target.displayName |
additional.fields |
Mappato dal log delle modifiche |
anonymous", "operator", and "type |
security_result.detection_fields |
Mappato dal log delle modifiche |
tunnels" and "policyRuleFactorMode |
security_result.detection_fields |
Mappato dal log delle modifiche |
profile.displayName |
principal.user.user_display_name |
Mappato dal log delle modifiche |
profile.email |
principal.user.email_addresses |
Mappato dal log delle modifiche |
target.0.alternateId |
target.user.userid |
Mappato dal log delle modifiche |
target.1.alternateId |
target.user.userid |
Mappato dal log delle modifiche |
securityContext.asNumber |
security_result.detection_fields |
Mappato dal log delle modifiche |
legacyEventType |
security_result.detection_fields |
Mappato dal log delle modifiche |
target.displayName |
target.resource_ancestors.name |
Mappato dal log delle modifiche |
targetfield.detailEntry.methodTypeUsed |
target.resource_ancestors.attribute.labels |
Mappato dal log delle modifiche |
targetfield.detailEntry.methodUsedVerifiedProperties |
target.resource_ancestors.attribute.labels |
Mappato dal log delle modifiche |
debugContext.debugData.changedAttributes |
security_result.detection_fields |
Mappato dal log delle modifiche |
client.userAgent.os |
principal.platform |
Mappato dal log delle modifiche |
client.device |
principal.asset.type |
Mappato dal log delle modifiche |
target.0.detailEntry.clientAppId |
target.asset_id |
Mappato dal log delle modifiche |
| Campo del log | mappatura UDM | Commento |
| :--- | :--- | :--- |
actor.displayName |
principal.resource.attribute.labels |
|
assigned_group[] |
security_result.detection_fields |
|
created |
target.resource.attribute.labels |
|
credentials.oauthClient.autoKeyRotation |
security_result.detection_fields |
|
credentials.oauthClient.pkce_required |
security_result.detection_fields |
|
credentials.oauthClient.token_endpoint_auth_method |
security_result.detection_fields |
|
credentials.signing.kid |
security_result.detection_fields |
|
credentials.userNameTemplate.pushStatus |
security_result.detection_fields |
|
credentials.userNameTemplate.template |
metadata.product_event_type |
|
credentials.userNameTemplate.type |
security_result.detection_fields |
|
id |
principal.user.userid |
|
label |
target.resource.attribute.labels |
|
lastUpdated |
target.resource.attribute.labels |
|
orn |
target.resource.attribute.labels |
|
settings.implicitAssignment |
security_result.detection_fields |
|
settings.manualProvisioning |
security_result.detection_fields |
|
settings.notifications.vpn.network.connection |
security_result.detection_fields |
|
settings.notifications.vpn.network.helpUrl |
security_result.detection_fields |
|
settings.notifications.vpn.network.message |
security_result.detection_fields |
|
settings.oauthClient.application_type |
security_result.detection_fields |
|
settings.oauthClient.client_uri |
security_result.detection_fields |
|
settings.oauthClient.consent_method |
security_result.detection_fields |
|
settings.oauthClient.dpop_bound_access_tokens |
security_result.detection_fields |
|
settings.oauthClient.grant_types[] |
security_result.detection_fields |
|
settings.oauthClient.idp_initiated_login.mode |
security_result.detection_fields |
|
settings.oauthClient.initiate_login_uri |
security_result.detection_fields |
|
settings.oauthClient.issuer_mode |
security_result.detection_fields |
|
settings.oauthClient.logo_uri |
security_result.detection_fields |
|
settings.oauthClient.pkce_required |
security_result.detection_fields |
|
settings.oauthClient.redirect_uris[] |
security_result.detection_fields |
|
settings.oauthClient.response_types[] |
security_result.detection_fields |
|
settings.oauthClient.token_endpoint_auth_method |
security_result.detection_fields |
|
settings.oauthClient.wildcard_redirect |
security_result.detection_fields |
|
settings.signOn.acsUrl |
security_result.detection_fields |
|
settings.signOn.assertionSigned |
security_result.detection_fields |
|
settings.signOn.attributeStatements[0].filterType |
security_result.detection_fields |
|
settings.signOn.attributeStatements[0].filterValue |
security_result.detection_fields |
|
settings.signOn.attributeStatements[0].name |
security_result.detection_fields |
|
settings.signOn.attributeStatements[0].namespace |
security_result.detection_fields |
|
settings.signOn.attributeStatements[0].type |
security_result.detection_fields |
|
settings.signOn.audience |
security_result.detection_fields |
|
settings.signOn.authnContextClassRef |
security_result.detection_fields |
|
settings.signOn.defaultRelayState |
security_result.detection_fields |
|
settings.signOn.destination |
security_result.detection_fields |
|
settings.signOn.digestAlgorithm |
security_result.detection_fields |
|
settings.signOn.idpIssuer |
security_result.detection_fields |
|
settings.signOn.recipient |
security_result.detection_fields |
|
settings.signOn.responseSigned |
security_result.detection_fields |
|
settings.signOn.signatureAlgorithm |
security_result.detection_fields |
|
settings.signOn.subjectNameIdFormat |
security_result.detection_fields |
|
settings.signOn.subjectNameIdTemplate |
security_result.detection_fields |
|
signOnMode |
security_result.detection_fields |
|
status |
security_result.detection_fields |
|
visibility.appLinks.oidc_client_link |
security_result.detection_fields |
|
visibility.autoSubmitToolbar |
security_result.detection_fields |
|
visibility.hide.iOS |
security_result.detection_fields |
|
visibility.hide.web |
security_result.detection_fields |
|
| N/D | metadata.vendor_name |
Da impostare su Okta. |
| N/D | metadata.product_name |
Da impostare su Okta. |
| N/D | extensions.auth.type |
Da impostare su SSO. |
Tabella di mappatura degli array
La tabella seguente elenca la mappatura degli elementi dell'array Okta ai campi UDM ripetuti.
| Array di log | Array di eventi | Commento |
|---|---|---|
actor.alternateId |
TBD |
|
actor.displayName |
principal.user.user_display_name |
Quando eventType è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
actor.displayName |
principal.user.user_display_name |
Quando eventType non è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
actor.type |
principal.user.attribute.roles.name |
Quando eventType è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
actor.type |
principal.user.attribute.roles.name |
Quando eventType non è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
anonymous |
security_result.detection_fields |
|
authenticationContext.externalSessionId |
network.parent_session_id |
|
client.device |
principal.asset.type |
Supporta: LINUX, WINDOWS, MAC, IOS, ANDROID, CHROME_OS |
client.device |
additional.fields |
Event_type |
client.geographicalContext.city |
principal.location.city |
|
client.geographicalContext.country |
principal.location.country_or_region |
|
client.geographicalContext.geolocation.lat |
principal.location.region_latitude |
|
client.geographicalContext.geolocation.lon |
principal.location.region_longitude |
|
client.geographicalContext.postalCode |
additional.fields |
|
client.geographicalContext.postalCode |
target.resource.attribute.labels |
|
client.ipAddress |
principal.ip |
|
client.userAgent |
network.http.user_agentnetwork.http.parsed_user_agent |
|
client.userAgent.browser |
target.resource.attribute.labels |
|
client.userAgent.os |
principal.platform |
|
client.userAgent.os |
principal.platform |
|
client.userAgent.rawUserAgent |
network.http.user_agentnetwork.http.parsed_user_agent |
|
client.zone |
additional.fields |
Event_type |
debugContext.debugData.behaviors.New City |
security_result.detection_fields |
|
debugContext.debugData.behaviors.New Country |
security_result.detection_fields |
|
debugContext.debugData.behaviors.New Device |
security_result.detection_fields |
|
debugContext.debugData.behaviors.New Geo-Location |
security_result.detection_fields |
|
debugContext.debugData.behaviors.New IP |
security_result.detection_fields |
|
debugContext.debugData.behaviors.New State |
security_result.detection_fields |
|
debugContext.debugData.behaviors.Velocity |
security_result.detection_fields |
|
debugContext.debugData.clientAddress |
principal.ipprincipal.asset.ip |
|
debugContext.debugData.dtHash |
security_result.detection_fields |
|
debugContext.debugData.factor |
security_result.detection_fields |
|
debugContext.debugData.factorIntent |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors |
security_result.description |
|
debugContext.debugData.logOnlySecurityData.behaviors.New City |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors.New Country |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors.New Device |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors.New Geo-Location |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors.New IP |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors.New State |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.behaviors.Velocity |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.risk.reasons |
security_result.detection_fields |
|
debugContext.debugData.logOnlySecurityData.risk.reasons |
security_result.description |
|
debugContext.debugData.logOnlySecurityData.risk.level |
security_result.severity_details |
|
debugContext.debugData.logOnlySecurityData.url |
target.url |
|
debugContext.debugData.privilegeGranted[] |
target.user.attribute.roles.nametarget.user.attribute.roles.description |
|
debugContext.debugData.pushOnlyResponseType |
security_result.detection_fields |
|
debugContext.debugData.pushWithNumberChallengeResponseType |
security_result.detection_fields |
|
debugContext.debugData.requestUri |
extensions.auth.auth_details |
|
debugContext.debugData.requestUri |
target.url |
|
debugContext.debugData.risk |
security_result.detection_fields |
Motivi mappati a security_result.detection_fields. |
debugContext.debugData.suspiciousActivityEventId |
security_result.detection_fields |
|
debugContext.debugData.suspiciousActivityEventType |
security_result.detection_fields |
|
debugContext.debugData.threatDetections |
security_result.detection_fields |
|
debugContext.debugData.threatSuspected |
security_result.detection_fieldssecurity_result.threat_status |
|
debugContext.debugData.threatSuspected |
security_result.detection_fieldssecurity_result.threat_status |
|
debugContext.debugData.tunnels[].anonymous |
security_result.detection_fields |
|
debugContext.debugData.tunnels[].operator |
security_result.detection_fields |
|
debugContext.debugData.tunnels[].type |
security_result.detection_fields |
|
debugContext.debugData.tunnels.n.anonymous |
security_result.detection_fields |
|
debugContext.debugData.tunnels.n.operator |
security_result.detection_fields |
|
debugContext.debugData.tunnels.n.type |
security_result.detection_fields |
|
detail.actor.id |
principal.user.product_object_id |
Quando eventType è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
detail.actor.id |
principal.user.product_object_id |
Quando eventType non è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
detail.authenticationContext.externalSessionId |
network.parent_session_id |
|
detail.client.ipChain.0.ipclient.ipAddress |
principal.ipprincipal.asset.ip |
|
detail.debugContext.debugData.dtHash |
security_result.detection_fields |
|
detail.debugContext.debugData.factor |
security_result.detection_fields |
|
detail.debugContext.debugData.factorIntent |
security_result.detection_fields |
|
detail.debugContext.debugData.pushOnlyResponseType |
security_result.detection_fields |
|
detail.debugContext.debugData.pushWithNumberChallengeResponseType |
security_result.detection_fields |
|
detail.debugContext.debugData.requestUri |
target.url |
|
detail.eventType |
metadata.product_event_type |
|
detail.outcome.reason |
security_result.category_details |
|
detail.outcome.result |
security_result.action |
|
detail.request.ipChain.0.geographicalContext.city |
principal.location.city |
|
detail.request.ipChain.0.geographicalContext.country |
principal.location.country_or_region |
|
detail.request.ipChain.0.geographicalContext.state |
principal.location.state |
|
detail.severity |
security_result.severity |
|
detail.target.0.alternateId |
Consulta l'osservazione. | tgtuser_id => target.user.userid%{tgtusername}@%{tgtdomain} => target.user.email_addresses |
detail.target.0.displayName |
target.applicationtarget.resource.name |
|
detail.target.0.displayName |
target.user.user_display_name |
|
detail.target.0.detailEntry.policyType} |
target.resource_ancestors.attribute.labels |
|
detail.target.0.id |
target.resource.product_object_id |
|
detail.target.0.id |
target.resource_ancestors.product_object_id |
|
detail.target.0.type |
target.resource.resource_subtype |
|
detail.target.0.type |
target.resource_ancestors.resource_subtype |
|
detail.uuid |
metadata.product_log_id |
|
displayMessage |
security_result.summary |
|
extensions.auth.type |
SSO |
Event_type |
extensions.auth.type |
SSO |
Quando msg.target.type è un caso diverso da AppInstance, PolicyEntity, PolicyRule o User. |
eventType |
metadata.product_event_type |
|
eventTypedetail.eventType |
metadata.product_event_type |
|
json_array.n.actor.id |
principal.user.product_object_id |
|
mapped data.fields to fields |
||
metadata.product_name |
Okta |
Event_type |
metadata.vendor_name |
Okta |
Event_type |
msg.actor.alternateId |
Consulta l'osservazione. | Se l'analisi non va a buon fine, viene mappato a principal.user.userid, altrimenti mappa il nome utente a principal.user.userido nomeutente@dominio a principal.user.email_addresses. |
msg.actor.displayName |
principal.user.user_display_name |
|
msg.actor.type |
principal.user.attribute.roles.name |
|
msg.authenticationContext.authenticationProvider |
security_result.detection_fields |
Event_type |
msg.authenticationContext.credentialProvider |
security_result.detection_fields |
Event_type |
msg.authenticationContext.externalSessionId |
network.parent_session_id |
|
msg.client.device |
principal.asset.type |
Supporta: MOBILE, WORKSTATION, LAPTOP, IOT, NETWORK_ATTACHED_STORAGE, PRINTER, SCANNER, SERVER, TAPE_LIBRARY |
msg.client.geographicalContext.city |
principal.location.city |
|
msg.client.geographicalContext.country |
principal.location.country_or_region |
|
msg.client.geographicalContext.geolocation.lat |
principal.location.region_latitude |
|
msg.client.geographicalContext.geolocation.lon |
principal.location.region_longitude |
|
msg.client.geographicalContext.postalCode |
additional.fields |
|
msg.client.geographicalContext.state |
principal.location.state |
|
msg.client.ipAddress |
principal.ip |
|
msg.client.userAgent.browser |
target.resource.attribute.labels |
|
msg.client.userAgent.os |
principal.platform |
Supporta: LINUX, WINDOWS, MAC, IOS, ANDROID, CHROME_OS |
msg.client.userAgent.rawUserAgent |
network.http.user_agentnetwork.http.parsed_user_agent |
|
msg.debugContext.debugData.dtHash |
security_result.detection_fields |
|
msg.debugContext.debugData.factor |
security_result.detection_fields |
|
msg.debugContext.debugData.factorIntent |
security_result.detection_fields |
|
msg.debugContext.debugData.logOnlySecurityData.behaviors |
security_result.description |
|
msg.debugContext.debugData.logOnlySecurityData.risk.reasons |
security_result.detection_fields |
|
msg.debugContext.debugData.logOnlySecurityData.url |
target.url |
|
msg.debugContext.debugData.pushOnlyResponseType |
security_result.detection_fields |
|
msg.debugContext.debugData.pushWithNumberChallengeResponseType |
security_result.detection_fields |
|
msg.debugContext.debugData.requestUri |
extensions.auth.auth_details |
|
msg.debugContext.debugData.threatSuspected |
security_result.detection_fieldssecurity_result.threat_status |
|
msg.displayMessage |
security_result.summary |
|
msg.eventType |
metadata.product_event_type |
|
msg.legacyEventType |
security_result.detection_fields |
|
msg.outcome.reason |
security_result.category_details |
|
msg.outcome.result |
security_result.action |
|
msg.published |
metadata.event_timestamp |
|
msg.request.ipChain.n.geographicalContext.city |
intermediary[n].location.city |
|
msg.request.ipChain.n.geographicalContext.country |
intermediary[n].location.country_or_region |
|
msg.request.ipChain.n.geographicalContext.geolocation.lat |
intermediary[n].location.region_latitude |
|
msg.request.ipChain.n.geographicalContext.geolocation.lon |
intermediary[n].location.region_longitude |
|
msg.request.ipChain.n.geographicalContext.state |
intermediary[n].location.state |
|
msg.request.ipChain.n.ip |
intermediary[n].ip |
|
msg.securityContext.asNumber |
security_result.detection_fields |
|
msg.securityContext.asOrg |
security_result.detection_fields |
|
msg.securityContext.domain |
security_result.detection_fields |
|
msg.securityContext.isProxy |
security_result.detection_fields |
|
msg.securityContext.isp |
security_result.detection_fields |
|
msg.severity |
security_result.severity |
|
msg.target.alternateId (when msg.target.type == User) |
target.user.email_addresses |
Quando msg.target.type = User. Tuttavia, se l'analisi non va a buon fine, viene mappata a target.user.userid, altrimenti target_user_name viene mappata a target.user.userid. |
msg.target.detailEntry.policyType |
target.resource_ancestors.attribute.labels |
Quando msg.target.type = PolicyEntity. |
msg.target.detailEntry.signOnModeType |
security_result.detection_fields |
Quando msg.target.type è un caso diverso da AppInstance, PolicyEntity, PolicyRule o User. |
msg.target.displayName |
additional.fields |
|
msg.target.displayName |
about.resource.name |
Quando msg.target.type è un caso diverso da AppInstance, PolicyEntity, PolicyRule o User. |
msg.target.displayName |
principal.user.user_display_name |
Quando msg.target.type = User. |
msg.target.displayName |
target.application |
Quando msg.target.type = AppInstance. |
msg.target.displayName |
target.resource.name |
Quando msg.target.type = AppInstance. |
msg.target.displayName |
target.resource.name |
Quando msg.target.type = PolicyRule. |
msg.target.displayName |
target.resource_ancestors.name |
Quando msg.target.type = PolicyEntity. |
msg.target.id |
about.resource.product_object_id |
Quando msg.target.type è un caso diverso da AppInstance, PolicyEntity, PolicyRule o User. |
msg.target.id |
target.resource.product_object_id |
Quando msg.target.type = AppInstance. |
msg.target.id |
target.resource.product_object_id |
Quando msg.target.type = PolicyRule. |
msg.target.id |
target.resource_ancestors.product_object_id |
Quando msg.target.type = PolicyEntity. |
msg.target.id |
target.user.product_object_id |
Quando msg.target.type = User. |
msg.target.type |
about.resource.resource_subtype |
Quando msg.target.type è un caso diverso da AppInstance, PolicyEntity, PolicyRule o User. |
msg.target.type |
target.resource.resource_subtype |
Quando msg.target.type = AppInstance. |
msg.target.type |
target.resource.resource_subtype |
Quando msg.target.type = PolicyRule. |
msg.target.type |
target.resource_ancestors.resource_subtype |
Quando msg.target.type = PolicyEntity. |
msg.target.type |
target.user.attribute.roles.name |
Quando msg.target.type = User. |
msg.transaction.id |
network.session_id |
|
msg.transaction.type |
additional.fields |
Event_type |
msg.uuid |
metadata.product_log_id |
|
operator |
security_result.detection_fields |
|
outcome.reasondetail.outcome.reason |
security_result.category_details |
|
outcome.resultdetail.outcome.result |
security_result.action |
|
profile.displayName |
principal.user.user_display_name |
|
profile.email |
principal.user.email_addresses |
|
profile.login |
principal.user.userid |
username => principal.user.userid |
published |
metadata.event_timestamp |
|
published |
metadata.event_timestamp |
|
request.ipChain.0.geographicalContext.citydetail.request.ipChain.0.geographicalContext.city |
principal.location.city |
|
request.ipChain.0.geographicalContext.countrydetail.request.ipChain.0.geographicalContext.country |
principal.location.country_or_region |
|
request.ipChain.0.geographicalContext.statedetail.request.ipChain.0.geographicalContext.state |
principal.location.state |
|
request.ipChain.0.ip |
principal.ipprincipal.asset.ip |
|
request.ipChain.1.geographicalContext.city |
intermediary.location.city |
|
request.ipChain.1.geographicalContext.country |
intermediary.location.country_or_region |
|
request.ipChain.1.geographicalContext.state |
intermediary.location.state |
|
securityContext.asNumber |
security_result.detection_fields |
|
securityContext.asOrg |
security_result.detection_fields |
|
securityContext.domain |
security_result.detection_fields |
|
securityContext.isProxy |
security_result.detection_fields |
|
securityContext.isProxy |
security_result.detection_fieldsadditional.fields |
|
securityContext.isp |
security_result.detection_fields |
|
severitydetail.severity |
security_result.severity |
|
target[].alternateId |
target.resource.attribute.labels |
|
target[].detailEntry.methodTypeUsed |
target.resource_ancestors.attribute.labels |
|
target[].detailEntry.methodUsedVerifiedProperties |
target.resource_ancestors.attribute.labels |
|
target[].detailEntry.policyRuleFactorMode |
security_result.detection_fields |
|
target[].detailEntry.policyType |
target.resource_ancestors.attribute.labels |
|
target[].detailEntry.signOnModeType |
security_result.detection_fields |
|
target[].displayName |
additional.fields |
|
target[].displayName |
target.applicationtarget.resource.name |
|
target[].displayName |
target.resource.name |
|
target[].displayName |
target.resource_ancestors.name |
|
target[].id |
target.resource.product_object_id |
|
target[].id |
target.resource_ancestors.product_object_id |
|
target[].type |
target.resource.resource_subtype |
|
target[].type |
target.resource_ancestors.resource_subtype |
|
target.0.alternateId |
Consulta l'osservazione. | tgtuser_id => target.user.userid%{tgtusername}@%{tgtdomain} => target.user.email_addresses |
target.0.detailEntry.clientAppId |
target.asset_id |
|
target.0.displayNamedetail.target.0.displayName |
target.user.user_display_name |
|
target.0.displayName/target.1.displayName |
target.user.group_identifiers |
|
target.0.id |
target.user.product_object_id |
|
target.0.typedetail.target.0.type |
target.user.attribute.roles.name |
|
target.1.alternateId |
Consulta l'osservazione. | tgtuser_id => target.user.userid%{tgtusername}@%{tgtdomain} => target.user.email_addresses |
target.1.detailEntry.clientAppId |
target.asset_id |
|
target.1.displayName |
target.user.user_display_name |
|
target.1.id |
target.user.product_object_id |
|
target.1.type |
target.user.attribute.roles.name |
|
transaction.id |
network.session_id |
|
type |
security_result.detection_fields |
|
user_agent.browser |
target.resource.attribute.labels |
|
user_email |
principal.user.email_addresses |
Quando eventType è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
user_email |
principal.user.email_addresses |
Quando eventType non è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
user_id |
principal.user.userid |
Quando eventType è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
user_id |
principal.user.userid |
Quando eventType non è application.user_membership.update, policy.rule.update o user.authentication.auth_via_radius. |
uuid |
metadata.product_log_id |
|
uuid |
metadata.product_log_id |
Riferimento per le differenze tra le mappature UDM
Il 26 agosto 2025, Google SecOps ha rilasciato una nuova versione del parser Okta, che include modifiche significative alla mappatura dei campi dei log Okta ai campi UDM e modifiche alla mappatura dei tipi di eventi.
Differenze tra le mappature dei campi dei log
La tabella seguente elenca le differenze di mappatura per i campi di log Okta in UDM esposti prima del 26 agosto 2025 e successivamente (elencati rispettivamente nelle colonne Old mapping e Current mapping).
| Campo del log | Vecchia mappatura | Mappatura attuale |
|---|---|---|
client.geographicalContext.geolocation.lat |
target.location.region_latitude |
principal.location.region_coordinates.latitude |
client.geographicalContext.geolocation.lon |
target.location.region_longitude |
principal.location.region_coordinates.longitude |
created |
target.resource.attribute.labels |
metadata.event_timestamp |
debugContext.debugData.authnRequestId |
additional.fields |
security_result.detection_fields |
debugContext.debugData.factorType |
additional.fields |
security_result.detection_fields |
debugContext.debugData.traceId |
additional.fields |
security_result.detection_fields |
debugContext.debugData.tunnels.anonymous |
security_result.detection_fields |
network.proxy_info.anonymous |
lastUpdated |
target.resource.attribute.labels |
target.resource.attribute.last_update_time |
platform quando la piattaforma è iOS |
principal.platform = MAC |
principal.platform = IOS |
securityContext.asOrg |
security_result.detection_fields |
network.organization_name |
securityContext.isProxy |
additional.fields |
network.is_proxy |
target.detailEntry.methodTypeUsed |
target.resource.attribute.labels |
security_result.detection_fields |
target.detailEntry.methodUsedVerifiedProperties |
target.resource.attribute.labels |
security_result.detection_fields |
Delta di mappatura del tipo di evento
Più eventi che in precedenza erano classificati come eventi generici ora sono classificati correttamente con tipi di eventi significativi.
La tabella seguente elenca il delta per la gestione dei tipi di eventi Okta prima del 26 agosto 2025 e successivamente (elencati rispettivamente nelle colonne Vecchio event_type e event_type corrente).
| eventType dal log | Old event_type | event_type attuale |
|---|---|---|
app.oauth2.as.authorize |
USER_UNCATEGORIZED |
USER_LOGIN |
app.oauth2.as.authorize.code |
USER_UNCATEGORIZED |
USER_LOGIN |
app.oauth2.as.authorize.implicit.access_token |
USER_UNCATEGORIZED |
USER_LOGIN |
app.oauth2.as.authorize.implicit.id_token |
USER_UNCATEGORIZED |
USER_LOGIN |
app.oauth2.authorize.code |
USER_UNCATEGORIZED |
USER_LOGIN |
app.oauth2.token.grant |
USER_UNCATEGORIZED |
USER_LOGIN |
application.user_membership.remove |
USER_UNCATEGORIZED |
USER_CHANGE_PERMISSIONS |
application.user_membership.update |
STATUS_UPDATE |
USER_CHANGE_PERMISSIONS |
user.authentication.auth_via_AD_agent |
STATUS_UPDATE |
USER_UNCATEGORIZED |
user.authentication.slo |
USER_UNCATEGORIZED |
USER_LOGOUT |
Log delle modifiche
Visualizza il log delle modifiche per questo parser
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.