Collecter les journaux d'audit Oracle Cloud Infrastructure

Compatible avec :

Google SecOps SIEM

Remarque : Cette fonctionnalité est couverte par les Conditions des offres avant disponibilité générale des conditions spécifiques du service Google Security Operations. Les fonctionnalités pré-DG (avant disponibilité générale) sont susceptibles de présenter une compatibilité limitée, et les modifications apportées à ces fonctionnalités peuvent ne pas être compatibles avec d'autres versions avant disponibilité générale. Pour en savoir plus, consultez les Instructions relatives aux services d'assistance technique Google SecOps et les Conditions spécifiques du service Google SecOps.

Ce document explique comment ingérer les journaux d'audit Oracle Cloud Infrastructure dans Google Security Operations à l'aide d'Amazon S3.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Instance Google SecOps.
• Compte Oracle Cloud Infrastructure disposant des autorisations nécessaires pour créer et gérer :
  • Service Connector Hub
  • Oracle Functions
  • Coffres-forts et secrets
  • Groupes dynamiques et stratégies IAM
  • Journalisation
• Compte AWS disposant des autorisations nécessaires pour créer et gérer les éléments suivants :
  • Buckets S3
  • Utilisateurs et stratégies IAM

Créer un bucket Amazon S3

1. Connectez-vous à l'AWS Management Console.
2. Accédez à S3 > Créer un bucket.
3. Fournissez les informations de configuration suivantes :
   • Nom du bucket : saisissez un nom unique (par exemple, oci-audit-logs-bucket).
   • Région AWS : sélectionnez une région (par exemple, us-east-1).
   • Conservez les paramètres par défaut pour les autres options.
4. Cliquez sur Créer un bucket.
5. Enregistrez le nom et la région du bucket pour une utilisation ultérieure.

Créer un utilisateur IAM dans AWS pour OCI Functions

1. Connectez-vous à l'AWS Management Console.
2. Accédez à IAM > Utilisateurs > Ajouter des utilisateurs.
3. Fournissez les informations de configuration suivantes :
   • Nom d'utilisateur : saisissez un nom d'utilisateur (par exemple, oci-functions-s3-user).
   • Type d'accès : sélectionnez Clé d'accès – Accès programmatique.
4. Cliquez sur Next: Permissions (Suivant : Autorisations).
5. Cliquez sur Attach existing policies directly (Joindre directement des règles existantes).
6. Recherchez et sélectionnez la règle AmazonS3FullAccess.
7. Cliquez sur Next: Tags (Suivant : Tags).
8. Cliquez sur Suivant : Relire.
9. Cliquez sur Créer un utilisateur.
10. Important : Sur la page de confirmation, copiez et enregistrez les identifiants suivants :
    • ID de clé d'accès
    • Clé d'accès secrète

Remarque : Une fois cette page fermée, vous ne pourrez plus récupérer la clé secrète d'accès.

Stocker les identifiants AWS dans OCI Vault

Pour stocker les identifiants AWS de manière sécurisée, vous devez utiliser Oracle Cloud Infrastructure Vault au lieu de les coder en dur dans le code de la fonction.

Créer un coffre-fort et une clé de chiffrement principale

1. Connectez-vous à la console Oracle Cloud.
2. Accédez à Identité et sécurité > Coffre-fort.
3. Si vous n'avez pas de coffre-fort, cliquez sur Créer un coffre-fort.
4. Fournissez les informations de configuration suivantes :
   • Créer dans le compartiment : sélectionnez votre compartiment.
   • Name (Nom) : saisissez un nom (par exemple, oci-functions-vault).
5. Cliquez sur Créer un coffre-fort.
6. Une fois le coffre-fort créé, cliquez sur son nom pour l'ouvrir.
7. Sous Clés de chiffrement principales, cliquez sur Créer une clé.
8. Fournissez les informations de configuration suivantes :
   • Mode Protection : Logiciel
   • Name (Nom) : saisissez un nom (par exemple, oci-functions-key).
   • Forme de la clé : algorithme : AES
   • Forme de la clé : longueur : 256 bits
9. Cliquez sur Create Key (Créer une clé).

Créer des secrets pour les identifiants AWS

1. Dans le coffre-fort, sous Secrets, cliquez sur Créer un secret.
2. Fournissez les informations de configuration suivantes pour la clé d'accès AWS :
   • Créer dans le compartiment : sélectionnez votre compartiment.
   • Nom : aws-access-key
   • Description : clé d'accès AWS pour S3
   • Clé de chiffrement : sélectionnez la clé de chiffrement principale que vous avez créée.
   • Contenu du type de secret : texte brut
   • Contenu secret : collez votre ID de clé d'accès AWS.
3. Cliquez sur Créer un secret.
4. Copiez et enregistrez l'OCID de ce secret (il ressemble à ocid1.vaultsecret.oc1...).
5. Cliquez de nouveau sur Créer un secret pour créer le deuxième secret.
6. Fournissez les informations de configuration suivantes pour la clé secrète AWS :
   • Créer dans le compartiment : sélectionnez votre compartiment.
   • Nom : aws-secret-key
   • Description : clé secrète AWS pour S3
   • Clé de chiffrement : sélectionnez la même clé de chiffrement principale.
   • Contenu du type de secret : texte brut
   • Contenu secret : collez votre clé d'accès secrète AWS.
7. Cliquez sur Créer un secret.
8. Copiez et enregistrez l'OCID de ce secret.

Remarque : Vous utiliserez ces OCID secrets dans le code de votre fonction.

Créer un groupe dynamique pour OCI Functions

1. Connectez-vous à la console Oracle Cloud.
2. Accédez à Identité et sécurité> Identité> Groupes dynamiques.
3. Cliquez sur Créer un groupe dynamique.

4. Fournissez les informations de configuration suivantes :

   • Nom : oci-functions-dynamic-group
   • Description : groupe dynamique pour que les fonctions OCI accèdent aux secrets Vault

   • Règles de correspondance : saisissez la règle suivante (remplacez <your_compartment_ocid> par l'OCID de votre compartiment) :

     ALL {resource.type = 'fnfunc', resource.compartment.id = '<your_compartment_ocid>'}
     

5. Cliquez sur Créer.

Remarque : Pour trouver l'OCID de votre compartiment, accédez à Identité et sécurité > Identité > Compartiments, puis cliquez sur le nom de votre compartiment.

Créer une stratégie IAM pour l'accès à Vault

1. Connectez-vous à la console Oracle Cloud.
2. Accédez à Identité et sécurité> Identité> Règles.
3. Sélectionnez le compartiment dans lequel vous souhaitez créer la règle.
4. Cliquez sur Créer une règle.

5. Fournissez les informations de configuration suivantes :

   • Nom : oci-functions-vault-access-policy
   • Description : Autoriser les fonctions OCI à lire les secrets de Vault
   • Créateur de règles : activez l'option Afficher l'éditeur manuel.

   • Déclarations de stratégie : saisissez les informations suivantes (remplacez <compartment_name> par le nom de votre compartiment) :

     allow dynamic-group oci-functions-dynamic-group to manage secret-family in compartment <compartment_name>
     

6. Cliquez sur Créer.

Créer une application de fonction OCI

1. Connectez-vous à la console Oracle Cloud.
2. Accédez à Services pour les développeurs > Applications (sous "Fonctions").
3. Cliquez sur Créer une application.
4. Fournissez les informations de configuration suivantes :
   • Name (Nom) : saisissez un nom (par exemple, oci-logs-to-s3-app).
   • VCN : sélectionnez un VCN dans votre compartiment.
   • Sous-réseaux : sélectionnez un ou plusieurs sous-réseaux.
5. Cliquez sur Créer.

Créer et déployer la fonction OCI

Configurer Cloud Shell (recommandé)

1. Dans la console Oracle Cloud, cliquez sur l'icône Cloud Shell en haut à droite.
2. Attendez que Cloud Shell s'initialise.

Remarque : Cloud Shell est préconfiguré avec la CLI Fn et Docker, ce qui en fait le moyen le plus simple de développer et de déployer des fonctions.

Créer la fonction

1. Dans Cloud Shell, créez un répertoire pour votre fonction :

   mkdir pushlogs
   cd pushlogs
   

2. Initialisez une fonction Python :

   fn init --runtime python
   

3. Trois fichiers sont alors créés : func.py, func.yaml et requirements.txt.

Mettre à jour func.py

• Remplacez le contenu de func.py par le code suivant :

  import io
  import json
  import logging
  import boto3
  import oci
  import base64
  import os
  from fdk import response
  
  def handler(ctx, data: io.BytesIO = None):
      """
      OCI Function to push audit logs from OCI Logging to AWS S3
      """
      try:
          # Parse incoming log data from Service Connector
          funDataStr = data.read().decode('utf-8')
          funData = json.loads(funDataStr)
  
          logging.getLogger().info(f"Received {len(funData)} log entries")
  
          # Replace these with your actual OCI Vault secret OCIDs
          secret_key_id = "ocid1.vaultsecret.oc1..<your_secret_key_ocid>"
          access_key_id = "ocid1.vaultsecret.oc1..<your_access_key_ocid>"
  
          # Replace with your S3 bucket name
          s3_bucket_name = "oci-audit-logs-bucket"
  
          # Use Resource Principals for OCI authentication
          signer = oci.auth.signers.get_resource_principals_signer()
          secret_client = oci.secrets.SecretsClient({}, signer=signer)
  
          def read_secret_value(secret_client, secret_id):
              """Retrieve and decode secret value from OCI Vault"""
              response = secret_client.get_secret_bundle(secret_id)
              base64_secret_content = response.data.secret_bundle_content.content
              base64_secret_bytes = base64_secret_content.encode('ascii')
              base64_message_bytes = base64.b64decode(base64_secret_bytes)
              secret_content = base64_message_bytes.decode('ascii')
              return secret_content
  
          # Retrieve AWS credentials from OCI Vault
          awsaccesskey = read_secret_value(secret_client, access_key_id)
          awssecretkey = read_secret_value(secret_client, secret_key_id)
  
          # Initialize boto3 session with AWS credentials
          session = boto3.Session(
              aws_access_key_id=awsaccesskey,
              aws_secret_access_key=awssecretkey
          )
          s3 = session.resource('s3')
  
          # Process each log entry
          for i in range(0, len(funData)):
              # Use timestamp as filename
              filename = funData[i].get('time', f'log_{i}')
              # Remove special characters from filename
              filename = filename.replace(':', '-').replace('.', '-')
  
              logging.getLogger().info(f"Processing log entry: {filename}")
  
              # Write log entry to temporary file
              temp_file = f'/tmp/{filename}.json'
              with open(temp_file, 'w', encoding='utf-8') as f:
                  json.dump(funData[i], f, ensure_ascii=False, indent=4)
  
              # Upload to S3
              s3_key = f'{filename}.json'
              s3.meta.client.upload_file(
                  Filename=temp_file,
                  Bucket=s3_bucket_name,
                  Key=s3_key
              )
  
              logging.getLogger().info(f"Uploaded {s3_key} to S3 bucket {s3_bucket_name}")
  
              # Clean up temporary file
              os.remove(temp_file)
  
          return response.Response(
              ctx,
              response_data=json.dumps({
                  "status": "success",
                  "processed_logs": len(funData)
              }),
              headers={"Content-Type": "application/json"}
          )
  
      except Exception as e:
          logging.getLogger().error(f"Error processing logs: {str(e)}")
          return response.Response(
              ctx,
              response_data=json.dumps({
                  "status": "error",
                  "message": str(e)
              }),
              headers={"Content-Type": "application/json"},
              status_code=500
          )
  

  Important : Avant de déployer, mettez à jour les valeurs suivantes dans le code :
  • Remplacez secret_key_id par l'OCID secret de votre coffre pour la clé secrète AWS.
  • Remplacez access_key_id par l'OCID secret du coffre pour la clé d'accès AWS.
  • Remplacez s3_bucket_name par le nom de votre bucket S3.

Mettre à jour func.yaml

Remplacez le contenu de func.yaml par :

  schema_version: 20180708
  name: pushlogs
  version: 0.0.1
  runtime: python
  build_image: fnproject/python:3.9-dev
  run_image: fnproject/python:3.9
  entrypoint: /python/bin/fdk /function/func.py handler
  memory: 256

Mettre à jour le fichier requirements.txt

• Remplacez le contenu de requirements.txt par :

  fdk>=0.1.56
  boto3
  oci
  

Déployer la fonction

1. Définissez le contexte Fn pour utiliser votre application :

   fn use context <region-context>
   fn update context oracle.compartment-id <compartment-ocid>
   

2. Déployez la fonction :

   fn -v deploy --app oci-logs-to-s3-app
   

3. Attendez la fin du déploiement. Le résultat qui s'affiche doit indiquer que la fonction a bien été déployée.

4. Vérifiez que la fonction a été créée :

   fn list functions oci-logs-to-s3-app
   

Créer un connecteur de service pour envoyer les journaux d'audit OCI à la fonction

1. Connectez-vous à la console Oracle Cloud.
2. Accédez à Analytics et IA > Messagerie > Service Connector Hub.
3. Sélectionnez le compartiment dans lequel vous souhaitez créer le connecteur de service.
4. Cliquez sur Créer un connecteur de service.

Configurer les détails du connecteur de service

1. Fournissez les informations de configuration suivantes :

Informations sur le connecteur de service : * Nom du connecteur : saisissez un nom descriptif (par exemple, audit-logs-to-s3-connector). * Description : description facultative (par exemple, "Transférer les journaux d'audit OCI vers AWS S3"). * Compartiment de ressources : sélectionnez le compartiment.

Configurer la source

1. Sous Configurer la source :
   • Source : sélectionnez Journalisation.
   • Compartiment : sélectionnez le compartiment contenant les journaux d'audit.
   • Groupe de journaux : sélectionnez _Audit (il s'agit du groupe de journaux par défaut pour les journaux d'audit).
   • Journaux : cliquez sur + Autre journal.
   • Sélectionnez le journal d'audit de votre compartiment (par exemple, _Audit_Include_Subcompartment).

Remarque : Si vous souhaitez capturer des journaux d'audit provenant de plusieurs compartiments, cliquez sur + Autre journal pour ajouter d'autres sources de journaux.

Configurer la cible

1. Sous Configurer la cible :
   • Cible : sélectionnez Fonctions.
   • Compartiment : sélectionnez le compartiment contenant l'application de votre fonction.
   • Application de fonction : sélectionnez oci-logs-to-s3-app (l'application que vous avez créée précédemment).
   • Fonction : sélectionnez pushlogs (la fonction que vous avez déployée).

Configurer la stratégie

1. Sous Configurer la stratégie :

   • Examinez les instructions de stratégie IAM requises qui s'affichent.
   • Cliquez sur Créer pour créer automatiquement les règles requises.
   Remarque : Le système créera les stratégies IAM nécessaires pour permettre au connecteur de service d'appeler votre fonction.

2. Cliquez sur Créer pour créer le connecteur de service.

3. Attendez que le connecteur de service soit créé et activé. L'état doit passer à Actif.

Vérifier que les journaux sont transférés vers AWS S3

1. Connectez-vous à la console Oracle Cloud.
2. Effectuez des actions qui génèrent des journaux d'audit (par exemple, créez ou modifiez une ressource).
3. Attendez deux à cinq minutes que les journaux soient traités.
4. Connectez-vous à l'AWS Management Console.
5. Accédez à S3 > Buckets.
6. Cliquez sur votre bucket (par exemple, oci-audit-logs-bucket).
7. Vérifiez que les fichiers journaux JSON s'affichent dans le bucket.

Remarque : Chaque fichier journal est nommé avec un horodatage au format YYYY-MM-DDTHH-MM-SS-ms.json.

Configurer un bucket AWS S3 et IAM pour Google SecOps

Créer un utilisateur IAM pour Chronicle

1. Connectez-vous à l'AWS Management Console.
2. Accédez à IAM > Utilisateurs > Ajouter des utilisateurs.
3. Fournissez les informations de configuration suivantes :
   • Nom d'utilisateur : saisissez chronicle-s3-reader.
   • Type d'accès : sélectionnez Clé d'accès – Accès programmatique.
4. Cliquez sur Next: Permissions (Suivant : Autorisations).
5. Cliquez sur Attach existing policies directly (Joindre directement des règles existantes).
6. Recherchez et sélectionnez la stratégie AmazonS3ReadOnlyAccess.
7. Cliquez sur Next: Tags (Suivant : Tags).
8. Cliquez sur Suivant : Relire.
9. Cliquez sur Créer un utilisateur.
10. Cliquez sur Télécharger le fichier CSV pour enregistrer l'ID de clé d'accès et la clé d'accès secrète.
11. Cliquez sur Fermer.

Remarque : Pour les environnements de production, envisagez d'utiliser une stratégie IAM personnalisée avec un accès minimal limité au bucket S3 spécifique.

Facultatif : Créez une stratégie IAM personnalisée pour un accès avec le minimum de privilèges

Si vous souhaitez limiter l'accès à un bucket spécifique :

1. Accédez à IAM > Stratégies > Créer une stratégie.
2. Cliquez sur l'onglet JSON.

3. Saisissez la règle suivante :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:ListBucket"
         ],
         "Resource": [
           "arn:aws:s3:::oci-audit-logs-bucket",
           "arn:aws:s3:::oci-audit-logs-bucket/*"
         ]
       }
     ]
   }
   

   • Remplacez oci-audit-logs-bucket par le nom de votre bucket.

4. Cliquez sur Next: Tags (Suivant : Tags).

5. Cliquez sur Suivant : Relire.

6. Fournissez les informations de configuration suivantes :

   • Nom : chronicle-s3-read-policy
   • Description : accès en lecture seule au bucket de journaux d'audit OCI

7. Cliquez sur Créer une règle.

8. Revenez à IAM > Utilisateurs et sélectionnez l'utilisateur chronicle-s3-reader.

9. Cliquez sur Ajouter des autorisations> Joindre directement des règles.

10. Recherchez et sélectionnez chronicle-s3-read-policy.

11. Supprimez la règle AmazonS3ReadOnlyAccess si vous l'avez ajoutée précédemment.

12. Cliquez sur Ajouter des autorisations.

Configurer un flux dans Google SecOps pour ingérer les journaux d'audit Oracle Cloud

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Add New Feed (Ajouter un flux).
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Oracle Cloud Audit Logs).
5. Sélectionnez Amazon S3 V2 comme type de source.
6. Sélectionnez Oracle Cloud Infrastructure comme Type de journal.
7. Cliquez sur Suivant.
8. Spécifiez les valeurs des paramètres d'entrée suivants :
   • URI S3 : saisissez l'URI du bucket S3 (par exemple, s3://oci-audit-logs-bucket/).
   • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :
     • Jamais : recommandé pour les tests et la configuration initiale.
     • Supprimer les fichiers transférés : supprime les fichiers après leur ingestion réussie (à utiliser en production pour gérer les coûts de stockage).
   • Âge maximal des fichiers : incluez les fichiers modifiés au cours des derniers jours. La valeur par défaut est de 180 jours.
   • ID de clé d'accès : saisissez l'ID de clé d'accès de l'utilisateur Chronicle IAM que vous avez créé.
   • Clé d'accès secrète : saisissez la clé d'accès secrète de l'utilisateur IAM Chronicle que vous avez créé.
   • Espace de noms de l'élément : espace de noms de l'élément.
   • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.
9. Cliquez sur Suivant.
10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
data.request.headers.authorization.0	event.idm.read_only_udm.additional.fields	Valeur extraite de data.request.headers.authorization.0 et ajoutée en tant que paire clé-valeur où la clé est "Request Headers Authorization".
data.compartmentId	event.idm.read_only_udm.additional.fields	Valeur extraite de data.compartmentId et ajoutée en tant que paire clé-valeur où la clé est "compartmentId".
data.compartmentName	event.idm.read_only_udm.additional.fields	Valeur extraite de data.compartmentName et ajoutée en tant que paire clé-valeur où la clé est "compartmentName".
data.response.headers.Content-Length.0	event.idm.read_only_udm.additional.fields	Valeur extraite de data.response.headers.Content-Length.0 et ajoutée en tant que paire clé-valeur où la clé est "Response Headers Content-Length".
data.response.headers.Content-Type.0	event.idm.read_only_udm.additional.fields	Valeur extraite de data.response.headers.Content-Type.0 et ajoutée en tant que paire clé-valeur où la clé est "Response Headers Content-Type".
data.eventGroupingId	event.idm.read_only_udm.additional.fields	Valeur extraite de data.eventGroupingId et ajoutée en tant que paire clé-valeur où la clé est "eventGroupingId".
oracle.tenantid, data.identity.tenantId	event.idm.read_only_udm.additional.fields	La valeur est extraite de oracle.tenantid si elle est présente, sinon de data.identity.tenantId. Elle est ajoutée en tant que paire clé-valeur où la clé est "tenantId".
data.message	event.idm.read_only_udm.metadata.description	Valeur extraite de data.message.
time	event.idm.read_only_udm.metadata.event_timestamp	Valeur extraite de time et analysée en tant que code temporel ISO8601.
	event.idm.read_only_udm.metadata.event_type	Défini sur GENERIC_EVENT par défaut. Définissez sur NETWORK_CONNECTION si un principal (adresse IP ou nom d'hôte) et une adresse IP cible sont présents. Définissez sur STATUS_UPDATE si seul un principal est présent.
time	event.idm.read_only_udm.metadata.ingested_timestamp	Si oracle.ingestedtime n'est pas vide, la valeur est extraite du champ time et analysée en tant qu'horodatage ISO8601.
oracle.tenantid	event.idm.read_only_udm.metadata.product_deployment_id	Valeur extraite de oracle.tenantid.
type	event.idm.read_only_udm.metadata.product_event_type	Valeur extraite de type.
oracle.logid	event.idm.read_only_udm.metadata.product_log_id	Valeur extraite de oracle.logid.
specversion	event.idm.read_only_udm.metadata.product_version	Valeur extraite de specversion.
data.request.action	event.idm.read_only_udm.network.http.method	Valeur extraite de data.request.action.
data.identity.userAgent	event.idm.read_only_udm.network.http.parsed_user_agent	Valeur extraite de data.identity.userAgent et analysée.
data.response.status	event.idm.read_only_udm.network.http.response_code	Valeur extraite de data.response.status et convertie en nombre entier.
data.protocol	event.idm.read_only_udm.network.ip_protocol	La valeur numérique de data.protocol est convertie en sa représentation sous forme de chaîne (par exemple, 6 devient "TCP", 17 devient "UDP").
data.bytesOut	event.idm.read_only_udm.network.sent_bytes	Valeur extraite de data.bytesOut et convertie en entier non signé.
data.packets	event.idm.read_only_udm.network.sent_packets	Valeur extraite de data.packets et convertie en nombre entier.
data.identity.consoleSessionId	event.idm.read_only_udm.network.session_id	Valeur extraite de data.identity.consoleSessionId.
id	event.idm.read_only_udm.principal.asset.product_object_id	Valeur extraite de id.
source	event.idm.read_only_udm.principal.hostname	Valeur extraite de source.
data.sourceAddress, data.identity.ipAddress	event.idm.read_only_udm.principal.ip	Les valeurs de data.sourceAddress et data.identity.ipAddress sont fusionnées dans ce champ.
data.sourcePort	event.idm.read_only_udm.principal.port	Valeur extraite de data.sourcePort et convertie en nombre entier.
data.request.headers.X-Forwarded-For.0	event.idm.read_only_udm.principal.resource.attribute.labels	Valeur extraite de data.request.headers.X-Forwarded-For.0 et ajoutée en tant que paire clé-valeur où la clé est "x forward".
oracle.compartmentid	event.idm.read_only_udm.principal.resource.attribute.labels	Valeur extraite de oracle.compartmentid et ajoutée en tant que paire clé-valeur où la clé est "compartmentid".
oracle.loggroupid	event.idm.read_only_udm.principal.resource.attribute.labels	Valeur extraite de oracle.loggroupid et ajoutée en tant que paire clé-valeur où la clé est "loggroupid".
oracle.vniccompartmentocid	event.idm.read_only_udm.principal.resource.attribute.labels	Valeur extraite de oracle.vniccompartmentocid et ajoutée en tant que paire clé-valeur où la clé est "vniccompartmentocid".
oracle.vnicocid	event.idm.read_only_udm.principal.resource.attribute.labels	Valeur extraite de oracle.vnicocid et ajoutée en tant que paire clé-valeur où la clé est "vnicocid".
oracle.vnicsubnetocid	event.idm.read_only_udm.principal.resource.attribute.labels	Valeur extraite de oracle.vnicsubnetocid et ajoutée en tant que paire clé-valeur où la clé est "vnicsubnetocid".
data.flowid	event.idm.read_only_udm.principal.resource.product_object_id	Valeur extraite de data.flowid.
data.identity.credentials	event.idm.read_only_udm.principal.user.attribute.labels	Valeur extraite de data.identity.credentials et ajoutée en tant que paire clé-valeur où la clé est "credentials".
data.identity.principalName	event.idm.read_only_udm.principal.user.user_display_name	Valeur extraite de data.identity.principalName.
data.identity.principalId	event.idm.read_only_udm.principal.user.userid	Valeur extraite de data.identity.principalId.
data.action	event.idm.read_only_udm.security_result.action	Défini sur UNKNOWN_ACTION par défaut. Si data.action est défini sur "REJECT", ce paramètre est défini sur BLOCK. Si data.action est défini sur "ACCEPT", la valeur est définie sur ALLOW.
data.endTime	event.idm.read_only_udm.security_result.detection_fields	Valeur extraite de data.endTime et ajoutée en tant que paire clé-valeur où la clé est "endTime".
data.startTime	event.idm.read_only_udm.security_result.detection_fields	Valeur extraite de data.startTime et ajoutée en tant que paire clé-valeur où la clé est "startTime".
data.status	event.idm.read_only_udm.security_result.detection_fields	Valeur extraite de data.status et ajoutée en tant que paire clé-valeur où la clé est "status".
data.version	event.idm.read_only_udm.security_result.detection_fields	Valeur extraite de data.version et ajoutée en tant que paire clé-valeur où la clé est "version".
data.destinationAddress	event.idm.read_only_udm.target.ip	Valeur extraite de data.destinationAddress.
data.destinationPort	event.idm.read_only_udm.target.port	Valeur extraite de data.destinationPort et convertie en nombre entier.
data.request.path	event.idm.read_only_udm.target.url	Valeur extraite de data.request.path.
	event.idm.read_only_udm.metadata.product_name	Définissez-le sur "ORACLE CLOUD AUDIT".
	event.idm.read_only_udm.metadata.vendor_name	Définissez-le sur "ORACLE".

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.