Collecter les journaux de base de données Oracle

Compatible avec :

Ce document explique comment ingérer des journaux de base de données Oracle dans Google Security Operations à l'aide de l'agent Bindplane.

L'analyseur extrait les champs des messages SYSLOG, en gérant plusieurs formats à l'aide de modèles grok et de l'analyse clé-valeur. Il mappe ensuite ces champs extraits avec le modèle de données unifié (UDM), enrichit les données avec des métadonnées statiques telles que les noms de fournisseurs et de produits, et définit dynamiquement les types d'événements en fonction de valeurs de champs spécifiques telles que ACTION et USERID.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et l'hôte de la base de données Oracle
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à l'instance de base de données Oracle (rôle SYSDBA ou AUDIT_ADMIN)
  • Oracle Database 19c ou version ultérieure avec l'audit unifié activé (ou l'audit en mode mixte sur Oracle 12c-18c)

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.

  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/oracle_db:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: ORACLE_DB
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/oracle_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/oracle_db

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :
      • Remplacez 0.0.0.0 par une adresse IP spécifique pour écouter sur une interface, ou laissez 0.0.0.0 pour écouter sur toutes les interfaces (recommandé).
      • Remplacez 514 par le numéro de port correspondant à la configuration de transfert syslog Oracle.

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié dans la section Obtenir l'ID client Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/oracle_db:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ORACLE_DB
    raw_log_field: body
    ingestion_labels:

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Vérifiez les journaux pour détecter d'éventuelles erreurs :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Vérifiez les journaux pour détecter d'éventuelles erreurs :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer l'audit unifié et le transfert syslog d'Oracle Database

Activer l'audit unifié

Si l'audit unifié n'est pas encore activé, associez à nouveau les binaires Oracle à l'option uniaud_on. Pour cela, vous devez arrêter tous les processus Oracle exécutés à partir d'Oracle Home (instance de base de données et écouteur).

  1. Connectez-vous à l'hôte de la base de données Oracle en tant qu'utilisateur du système d'exploitation oracle.

  2. Arrêtez l'instance et l'écouteur Oracle :

    sqlplus / as sysdba <<EOF
shutdown immediate;
exit
EOF
lsnrctl stop

  3. Associez à nouveau les binaires Oracle avec l'audit unifié activé :

    cd $ORACLE_HOME/rdbms/lib
make -f ins_rdbms.mk uniaud_on ioracle

  4. Démarrez l'écouteur et l'instance Oracle :

    lsnrctl start
sqlplus / as sysdba <<EOF
startup;
exit
EOF

  5. Si Oracle Enterprise Manager Cloud Control s'exécute sur le même hôte, redémarrez-le :

    cd /u01/app/oracle/product/middleware/oms
export OMS_HOME=/u01/app/oracle/product/middleware/oms
$OMS_HOME/bin/emctl start oms

  6. Vérifiez que l'audit unifié est activé. Connectez-vous à la base de données Oracle avec SQLplus :

    SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';

Vérifiez que la commande renvoie une ligne avec VALUE égal à TRUE.

Configurer la sortie syslog d'audit unifié

Définissez le paramètre d'initialisation UNIFIED_AUDIT_SYSTEMLOG pour écrire des enregistrements d'audit unifiés dans syslog. Ce paramètre a été introduit dans Oracle 19c et remplace le paramètre AUDIT_SYSLOG_LEVEL obsolète (qui ne s'applique qu'à l'audit traditionnel).

  1. Connectez-vous à la base de données Oracle avec SQLplus en tant que SYSDBA.

  2. Définissez le paramètre UNIFIED_AUDIT_SYSTEMLOG :

    • Sur les systèmes UNIX/Linux, définissez le paramètre sur une valeur facility.priority :
    ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
    • Sur les systèmes Windows, définissez le paramètre sur TRUE pour écrire dans l'observateur d'événements Windows :
    ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;

  3. Facultatif : Pour écrire des enregistrements de règles d'audit unifiées communes d'un conteneur racine CDB dans syslog sur les systèmes UNIX/Linux, définissez le paramètre UNIFIED_AUDIT_COMMON_SYSTEMLOG :

    ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;

  4. Redémarrez l'instance de base de données Oracle pour que les modifications de paramètres prennent effet :

    SHUTDOWN IMMEDIATE;
STARTUP;

Configurer le daemon syslog sur l'hôte Oracle

Sur l'hôte de la base de données Oracle, configurez le daemon syslog pour qu'il transfère les entrées de journal d'audit à l'agent Bindplane.

  1. Connectez-vous à l'hôte de la base de données Oracle en tant que root.

  2. Ouvrez le fichier de configuration syslog :

    • Sur RHEL/CentOS/Oracle Linux avec rsyslog :

      sudo vi /etc/rsyslog.conf

    • Sur les systèmes plus anciens avec syslog :

      sudo vi /etc/syslog.conf

  3. Ajoutez une règle de transfert qui correspond à la fonction et à la priorité que vous avez configurées dans UNIFIED_AUDIT_SYSTEMLOG. Par exemple, si vous définissez LOCAL7.INFO :

    • Pour transférer via UDP (correspondant au récepteur Bindplane udplog) :

      local7.info @<BINDPLANE_HOST_IP>:514

    • Pour transférer via TCP (si Bindplane utilise le récepteur tcplog) :

      local7.info @@<BINDPLANE_HOST_IP>:514

    • Remplacez <BINDPLANE_HOST_IP> par l'adresse IP ou le nom d'hôte du système exécutant l'agent Bindplane.

  4. Facultatif : Pour conserver également une copie locale des journaux d'audit, ajoutez la ligne suivante :

    ```none
local7.info /var/log/oracle_audit.log
```

  5. Enregistrez le fichier et redémarrez le daemon syslog :

    • Sur RHEL/CentOS/Oracle Linux avec rsyslog :

      sudo systemctl restart rsyslog

    • Sur les systèmes plus anciens avec syslog :

      sudo service syslog restart

Vérifier le transfert des journaux d'audit

  1. Générez un événement d'audit de test en effectuant une action auditable dans la base de données Oracle. Par exemple, connectez-vous en tant qu'utilisateur et exécutez la commande suivante :

    SELECT * FROM DBA_USERS WHERE ROWNUM = 1;

  2. Vérifiez les journaux de l'agent Bindplane pour les messages syslog entrants :

    sudo journalctl -u observiq-otel-collector -f

  3. Vérifiez que le message syslog contient le tag Oracle Unified Audit avec des paires clé/valeur telles que TYPE, DBID, SESID, DBUSER, ACTION et RETCODE.

Table de mappage UDM

Champ du journal Mappage UDM Logique
ACTION security_result.action_details La valeur de ACTION du journal brut est directement mappée à ce champ UDM. Une logique supplémentaire est appliquée pour déterminer security_result.action et security_result.description en fonction de la valeur de ACTION (par exemple, 100 correspond à ALLOW et Success).
ACTION_NAME metadata.product_event_type Mappage direct.
ACTION_NUMBER additional.fields[action_number].value.string_value Mappé directement avec la clé Source Event. Également utilisé en combinaison avec d'autres champs pour dériver metadata.event_type et metadata.product_event_type.
APPLICATION_CONTEXTS additional.fields[application_contexts_label].value.string_value Mappé directement avec la clé APPLICATION_CONTEXTS.
AUDIT_POLICY additional.fields[audit_policy_label].value.string_value ou additional.fields[AUDIT_POLICY_#].value.string_value Si AUDIT_POLICY contient une virgule, il est divisé en plusieurs étiquettes avec des clés telles que AUDIT_POLICY_0, AUDIT_POLICY_1, etc. Sinon, il est mappé directement avec la clé AUDIT_POLICY.
AUDIT_TYPE additional.fields[audit_type_label].value.string_value Mappé directement avec la clé AUDIT_TYPE.
AUTHENTICATION_TYPE metadata.event_type, extensions.auth.type Utilisé pour dériver metadata.event_type en tant que USER_LOGIN si auth_type (extrait de AUTHENTICATION_TYPE) n'est pas vide et que d'autres conditions sont remplies. extensions.auth.type est défini sur AUTHTYPE_UNSPECIFIED.
CLIENT_ADDRESS principal.ip, principal.port, network.ip_protocol, intermediary[host].user.userid L'adresse IP, le port et le protocole sont extraits à l'aide de modèles grok. Si un nom d'utilisateur est présent dans le champ CLIENT_ADDRESS, il est mappé à intermediary[host].user.userid.
CLIENT_ID target.user.userid Mappage direct.
CLIENT_PROGRAM_NAME additional.fields[client_program_name_label].value.string_value Mappé directement avec la clé CLIENT_PROGRAM_NAME.
CLIENT_TERMINAL additional.fields[CLIENT_TERMINAL_label].value Mappé directement avec la clé CLIENT_TERMINAL.
CLIENT_USER target.user.user_display_name Mappage direct.
COMMENT$TEXT additional.fields[comment_text_label].value.string_value Directement mappé avec la clé comment_text après avoir remplacé + par :.
CURRENT_USER additional.fields[current_user_label].value.string_value Mappé directement avec la clé current_user.
CURUSER additional.fields[current_user_label].value.string_value Mappé directement avec la clé current_user.
DATABASE_USER principal.user.user_display_name Mappé directement s'il n'est pas vide ou s'il est défini sur /.
DBID metadata.product_log_id Mappé directement après la suppression des guillemets simples.
DBNAME target.resource.resource_type, target.resource.resource_subtype, target.resource.name Définit resource_type sur DATABASE, resource_subtype sur Oracle Database et mappe DBNAME sur name.
DBPROXY_USERRNAME intermediary[dbproxy].user.userid Mappage direct.
DBUSERNAME target.user.user_display_name Mappage direct.
ENTRYID target.resource.attribute.labels[entry_id_label].value Mappé directement avec la clé Entry Id.
EXTERNAL_USERID additional.fields[external_userid_label].value.string_value Mappé directement avec la clé EXTERNAL_USERID.
LENGTH additional.fields[length_label].value.string_value Mappé directement avec la clé length.
LOGOFF$DEAD target.resource.attribute.labels[LOGOFFDEAD_label].value Mappé directement avec la clé LOGOFFDEAD.
LOGOFF$LREAD target.resource.attribute.labels[LOGOFFLREAD_label].value Mappé directement avec la clé LOGOFFLREAD.
LOGOFF$LWRITE target.resource.attribute.labels[LOGOFFLWRITE_label].value Mappé directement avec la clé LOGOFFLWRITE.
LOGOFF$PREAD target.resource.attribute.labels[LOGOFFPREAD_label].value Mappé directement avec la clé LOGOFFPREAD.
NTIMESTAMP# metadata.event_timestamp Analysé et converti au format RFC 3339 ou ISO8601.
OBJCREATOR target.resource.attribute.labels[obj_creator_label].value Mappé directement avec la clé OBJ Creator.
OBJNAME target.resource.attribute.labels[obj_name_label].value Mappé directement avec la clé OBJ Name.
OS_USERNAME principal.user.user_display_name Mappage direct.
OSUSERID target.user.userid Mappage direct.
PDB_GUID principal.resource.product_object_id Mappage direct.
PRIV$USED additional.fields[privused_label].value.string_value Mappé directement avec la clé privused.
PRIVILEGE principal.user.attribute.permissions.name Mappage direct.
RETURN_CODE security_result.summary Mappage direct. La logique est appliquée pour dériver security_result.action et security_result.description.
RETURNCODE security_result.summary Mappage direct. La logique est appliquée pour dériver security_result.action et security_result.description.
RLS_INFO additional.fields[rls_info_label].value.string_value Mappé directement avec la clé RLS_INFO.
SCHEMA additional.fields[schema_label].value.string_value Mappé directement avec la clé schema.
SESSIONCPU target.resource.attribute.labels[SESSIONCPU_label].value Mappé directement avec la clé SESSIONCPU.
SESSIONID network.session_id Mappage direct.
SESID network.session_id Mappage direct.
SQL_TEXT target.process.command_line Mappage direct.
SQLTEXT target.process.command_line Mappage direct.
STATEMENT target.resource.attribute.labels[statement_label].value Mappé directement avec la clé STATEMENT.
STATUS security_result.summary Mappage direct. La logique est appliquée pour dériver security_result.action et security_result.description.
SYSTEM_PRIVILEGE_USED additional.fields[system_privilege_used_label].value.string_value Mappé directement avec la clé SYSTEM_PRIVILEGE_USED.
TARGET_USER additional.fields[target_user_label].value.string_value Mappé directement avec la clé TARGET_USER.
TERMINAL additional.fields[CLIENT_TERMINAL_label].value Mappé directement avec la clé CLIENT_TERMINAL.
TYPE additional.fields[type_label].value.string_value Mappé directement avec la clé type.
USERHOST principal.hostname, principal.administrative_domain Le nom d'hôte et le domaine sont extraits à l'aide de modèles grok.
USERID principal.user.userid Mappage direct.
device_host_name target.hostname Mappage direct.
event_name metadata.product_event_type Mappé directement après la conversion en majuscules.
file_name target.file.full_path Mappage direct.
hostname principal.hostname Mappage direct.
length additional.fields[length_label].value.string_value Mappé directement avec la clé length.
log_source_name principal.application Mappage direct.
message Diverses Utilisé pour l'analyse grok afin d'extraire plusieurs champs.
returncode RETURNCODE Mappage direct.
src_ip principal.ip Mappage direct.
t_hostname target.hostname Mappage direct.
(Logique de l'analyseur) metadata.vendor_name Codé en dur sur Oracle.
(Logique de l'analyseur) metadata.product_name Codé en dur sur Oracle DB.
(Logique de l'analyseur) metadata.event_type Déterminé en fonction des valeurs de ACTION, ACTION_NUMBER, source_event, OSUSERID, USERID, SQLTEXT, AUTHENTICATION_TYPE, DBUSERNAME, device_host_name, database_name. La valeur par défaut est USER_RESOURCE_ACCESS si aucune condition spécifique n'est remplie.
(Logique de l'analyseur) metadata.product_event_type Déterminé en fonction des valeurs de ACTION, ACTION_NUMBER, source_event, p_event_type, ACTION_NAME.
(Logique de l'analyseur) metadata.log_type Codé en dur sur ORACLE_DB.
(Logique de l'analyseur) extensions.auth.mechanism Définissez sur USERNAME_PASSWORD sous certaines conditions en fonction de ACTION, ACTION_NUMBER, source_event et OSUSERID.
(Logique de l'analyseur) extensions.auth.type Définissez sur AUTHTYPE_UNSPECIFIED sous certaines conditions en fonction de ACTION, ACTION_NUMBER et AUTHENTICATION_TYPE.
(Logique de l'analyseur) security_result.description Dérivé de RETURNCODE ou STATUS.
(Logique de l'analyseur) security_result.action Dérivé de RETURNCODE ou STATUS.
(Logique de l'analyseur) target.resource.attribute.labels Plusieurs étiquettes sont ajoutées en fonction de la présence et des valeurs de différents champs de journal.
(Logique de l'analyseur) additional.fields Plusieurs champs sont ajoutés en tant que paires clé/valeur en fonction de la présence et des valeurs de différents champs de journal.
(Logique de l'analyseur) intermediary Créé et renseigné en fonction de la présence et des valeurs de DBPROXY_USERRNAME et CLIENT_ADDRESS.
(Logique de l'analyseur) network.ip_protocol Dérivé du protocole extrait de CLIENT_ADDRESS à l'aide d'un fichier d'inclusion parse_ip_protocol.include.
has_target_user event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
GRANTEE event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
EXTENDED_TIMESTAMP event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
USERNAME event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
SRC_DATABASE event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
DBID event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
OBJ_NAME event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
OS_USERNAME event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OWNER event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
NEW_OWNER event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
NEW_NAME event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OBJ_PRIVILEGE event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ADMIN_OPTION event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SES_ACTIONS event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LOGOFF_TIME event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LOGOFF_LREAD event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LOGOFF_PREAD event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LOGOFF_LWRITE event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LOGOFF_DLOCK event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ECONTEXT_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SESSION_CPU event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PROXY_SESSIONID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
GLOBAL_UID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SQL_BIND event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SQL_TEXT event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OBJ_EDITION_NAME event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
COMMENT_TEXT event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
comment_principal_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
comment_principal_port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
priority event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
facility event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
inter_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
inter_port event.idm.read_only_udm.intermediary.port Mappé à partir du journal des modifications
HOST_ID event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
SYS_PRIVILEGE event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
PRIV_USED event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
OS_PROCESS event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
TRANSACTIONID event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
SCN event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
INSTANCE_NUMBER event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
ENTRY_ID event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
STATEMENTID event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
intermediary_hostname event.idm.read_only_udm.intermediary_hostname Mappé à partir du journal des modifications
org_id" and "comp_id additional.fields Mappé à partir du journal des modifications
host_addr principal.ip Mappé à partir du journal des modifications
host_id principal.hostname Mappé à partir du journal des modifications
level security_result.severity_details Mappé à partir du journal des modifications
LENGTH", "LOGOFFDEAD", "LOGOFFLREAD", "LOGOFFLWRITE", "LOGOFFPREAD", "SESSIONCPU", "CLIENT_TERMINAL target.resource.attribute.labels Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.