‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של מסד נתונים של Oracle

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Oracle DB ב-Google Security Operations באמצעות סוכן Bindplane.

הכלי לניתוח מחלץ שדות מהודעות SYSLOG, ומטפל בכמה פורמטים באמצעות דפוסי grok וניתוח של זוגות מפתח-ערך. לאחר מכן, המערכת ממפה את השדות שחולצו למודל הנתונים המאוחד (UDM), ומעשירה את הנתונים במטא-נתונים סטטיים כמו שמות הספקים והמוצרים, ומגדירה באופן דינמי את סוגי האירועים על סמך ערכים ספציפיים של שדות כמו ACTION ו-USERID.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מכונה של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות לרשת בין סוכן Bindplane לבין המארח של מסד הנתונים של Oracle
אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישה עם הרשאות למכונה של Oracle Database (תפקיד SYSDBA או AUDIT_ADMIN)
‫Oracle Database 19c ואילך עם ביקורת מאוחדת מופעלת (או ביקורת במצב מעורב ב-Oracle 12c–18c)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל הגדרות SIEM > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ באופן מאובטח במערכת שבה יותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sc query observiq-otel-collector
```
השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/oracle_db:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ORACLE_DB
        raw_log_field: body
log_type: 'ORACLE_DB'
        ingestion_labels:

service:
    pipelines:
        logs/oracle_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/oracle_db

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - מחליפים את 0.0.0.0 בכתובת IP ספציפית כדי להאזין לממשק אחד, או משאירים את 0.0.0.0 כדי להאזין לכל הממשקים (מומלץ)
  - מחליפים את 514 במספר היציאה שמתאים להגדרת העברת ה-syslog של Oracle.
הגדרת כלי הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק בקטע קבלת מספר הלקוח ב-Google SecOps
- ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
  - ארה"ב: malachiteingestion-pa.googleapis.com
  - אירופה: europe-malachiteingestion-pa.googleapis.com
  - אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
  - רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרה של ביקורת מאוחדת של מסד הנתונים של Oracle והעברה של syslog

הפעלת ביקורת מאוחדת

אם עדיין לא הפעלתם את האפשרות 'ביקורת מאוחדת', צריך לקשר מחדש את הקבצים הבינאריים של Oracle עם האפשרות uniaud_on. לשם כך צריך להשבית את כל התהליכים של Oracle שפועלים מ-Oracle Home (מופע של מסד נתונים ומאזין).

מתחברים למארח של מסד הנתונים של Oracle בתור משתמש מערכת ההפעלה oracle.

מכבים את המכונה ואת המאזין של Oracle:

sqlplus / as sysdba <<EOF
shutdown immediate;
exit
EOF
lsnrctl stop

קישור מחדש של קובצי ה-binary של Oracle עם הפעלת ביקורת מאוחדת:
```
cd $ORACLE_HOME/rdbms/lib
make -f ins_rdbms.mk uniaud_on ioracle
```

מפעילים את שירות ה-listener ואת מופע Oracle:

lsnrctl start
sqlplus / as sysdba <<EOF
startup;
exit
EOF

אם Oracle Enterprise Manager Cloud Control פועל באותו מארח, צריך להפעיל אותו מחדש:

cd /u01/app/oracle/product/middleware/oms
export OMS_HOME=/u01/app/oracle/product/middleware/oms
$OMS_HOME/bin/emctl start oms

מוודאים שהביקורת המאוחדת מופעלת. מתחברים למסד הנתונים של Oracle באמצעות SQLplus:
```
SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';
```

מוודאים שהפקודה מחזירה שורה אחת עם VALUE ששווה ל-TRUE.

הגדרת פלט של syslog לביקורת מאוחדת

מגדירים את פרמטר האתחול UNIFIED_AUDIT_SYSTEMLOG כדי לכתוב רשומות ביקורת מאוחדות ב-syslog. הפרמטר הזה הוצג ב-Oracle 19c ומחליף את הפרמטר AUDIT_SYSLOG_LEVEL שהוצא משימוש (והוא רלוונטי רק לביקורת מסורתית).

מתחברים למסד הנתונים של Oracle באמצעות SQLplus בתור SYSDBA.
מגדירים את הפרמטר UNIFIED_AUDIT_SYSTEMLOG:
- במערכות UNIX/Linux, מגדירים את הפרמטר לערך facility.priority:
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
```
- במערכות Windows, מגדירים את הפרמטר לערך TRUE כדי לכתוב ל-Windows Event Viewer:
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
אופציונלי: כדי לכתוב רשומות נפוצות של מדיניות ביקורת מאוחדת ממכולת הבסיס של CDB ל-syslog במערכות UNIX/Linux, מגדירים את הפרמטר UNIFIED_AUDIT_COMMON_SYSTEMLOG:
```
ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
הערה: אפשר להגדיר את UNIFIED_AUDIT_COMMON_SYSTEMLOG רק במאגר הבסיס של CDB. אין מקבילה ב-Windows.
מפעילים מחדש את מופע Oracle Database כדי שהשינויים בפרמטרים ייכנסו לתוקף:
```
SHUTDOWN IMMEDIATE;
STARTUP;
```

הגדרת ה-daemon של syslog במארח של Oracle

במארח של מסד הנתונים של Oracle, מגדירים את הדימון של syslog כך שיעביר את הרשומות של יומן הביקורת לסוכן Bindplane.

נכנסים למארח של מסד הנתונים של Oracle בתור root.
פותחים את קובץ התצורה של syslog:
- ב-RHEL/CentOS/Oracle Linux עם rsyslog:
```
sudo vi /etc/rsyslog.conf
```
- במערכות ישנות יותר עם syslog:
```
sudo vi /etc/syslog.conf
```
מוסיפים כלל העברה שתואם למתקן ולעדיפות שהגדרתם ב-UNIFIED_AUDIT_SYSTEMLOG. לדוגמה, אם מגדירים את LOCAL7.INFO:
- כדי להעביר באמצעות UDP (תואם לרכיב Bindplane udplog receiver):
```
local7.info @<BINDPLANE_HOST_IP>:514
```
- כדי להעביר באמצעות TCP (אם Bindplane משתמש ב-tcplog receiver):
```
local7.info @@<BINDPLANE_HOST_IP>:514
```
- מחליפים את <BINDPLANE_HOST_IP> בכתובת ה-IP או בשם המארח של המערכת שבה פועל סוכן Bindplane.
הערה: קידומת @ אחת מציינת העברת UDP. קידומת כפולה @@ מציינת העברת TCP. חשוב לוודא שהערך הזה תואם לסוג המקלט ב-Bindplane config.yaml.
אופציונלי: כדי לשמור גם עותק מקומי של יומני הביקורת, מוסיפים את השורה הבאה:
```
```none
local7.info /var/log/oracle_audit.log
```
```
שומרים את הקובץ ומפעילים מחדש את שירות ה-syslog:
- ב-RHEL/CentOS/Oracle Linux עם rsyslog:
```
sudo systemctl restart rsyslog
```
- במערכות ישנות יותר עם syslog:
```
sudo service syslog restart
```

אימות ההעברה של יומן הביקורת

כדי ליצור אירוע ביקורת לבדיקה, מבצעים פעולה שניתן לבדוק ב-Oracle Database. לדוגמה, מתחברים כמשתמש ומריצים את הפקודה:
```
SELECT * FROM DBA_USERS WHERE ROWNUM = 1;
```
בודקים את היומנים של סוכן Bindplane כדי לראות הודעות syslog נכנסות:
```
sudo journalctl -u observiq-otel-collector -f
```
מוודאים שהודעת ה-syslog מכילה את התג Oracle Unified Audit עם זוגות של מפתח וערך, כמו TYPE, ‏ DBID, ‏ SESID, ‏ DBUSER, ‏ ACTION ו-RETCODE.

הערה: רק קבוצת משנה של שדות רשומות ביקורת מאוחדות נכתבת ב-syslog. רשומת הביקורת המלאה מאוחסנת בתצוגה UNIFIED_AUDIT_TRAIL במסד הנתונים. בדרך כלל, רשומות Syslog מוגבלות ל-1,024 בייט.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`ACTION`	`security_result.action_details`	הערך של `ACTION` מיומן הגולמי ממופה ישירות לשדה הזה ב-UDM. לוגיקה נוספת מופעלת כדי לקבוע את הערכים של `security_result.action` ושל `security_result.description` על סמך הערך של `ACTION` (לדוגמה, `100` ממופה ל-`ALLOW` ול-`Success`).
`ACTION_NAME`	`metadata.product_event_type`	ממופים ישירות.
`ACTION_NUMBER`	`additional.fields[action_number].value.string_value`	ממופה ישירות למקש `Source Event`. השדה הזה משמש גם בשילוב עם שדות אחרים כדי להפיק את הערכים `metadata.event_type` ו-`metadata.product_event_type`.
`APPLICATION_CONTEXTS`	`additional.fields[application_contexts_label].value.string_value`	ממופה ישירות למקש `APPLICATION_CONTEXTS`.
`AUDIT_POLICY`	`additional.fields[audit_policy_label].value.string_value` או `additional.fields[AUDIT_POLICY_#].value.string_value`	אם `AUDIT_POLICY` מכיל פסיק, הוא מפולח לכמה תוויות עם מפתחות כמו `AUDIT_POLICY_0`,‏ `AUDIT_POLICY_1` וכו'. אחרת, הוא ממופה ישירות עם המפתח `AUDIT_POLICY`.
`AUDIT_TYPE`	`additional.fields[audit_type_label].value.string_value`	ממופה ישירות למקש `AUDIT_TYPE`.
`AUTHENTICATION_TYPE`	`metadata.event_type`, `extensions.auth.type`	המאפיין משמש להפקת הערך `metadata.event_type` כ-`USER_LOGIN` אם הערך `auth_type` (שחולץ מ-`AUTHENTICATION_TYPE`) לא ריק ומתקיימים תנאים אחרים. הערך של `extensions.auth.type` הוא `AUTHTYPE_UNSPECIFIED`.
`CLIENT_ADDRESS`	`principal.ip`,‏ `principal.port`,‏ `network.ip_protocol`,‏ `intermediary[host].user.userid`	כתובת ה-IP, היציאה והפרוטוקול מחולצים באמצעות דפוסי grok. אם יש שם משתמש בשדה `CLIENT_ADDRESS`, הוא ממופה אל `intermediary[host].user.userid`.
`CLIENT_ID`	`target.user.userid`	ממופים ישירות.
`CLIENT_PROGRAM_NAME`	`additional.fields[client_program_name_label].value.string_value`	ממופה ישירות למקש `CLIENT_PROGRAM_NAME`.
`CLIENT_TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	ממופה ישירות למקש `CLIENT_TERMINAL`.
`CLIENT_USER`	`target.user.user_display_name`	ממופים ישירות.
`COMMENT$TEXT`	`additional.fields[comment_text_label].value.string_value`	ממופה ישירות למפתח `comment_text` אחרי החלפת `+` ב-`:`.
`CURRENT_USER`	`additional.fields[current_user_label].value.string_value`	ממופה ישירות למקש `current_user`.
`CURUSER`	`additional.fields[current_user_label].value.string_value`	ממופה ישירות למקש `current_user`.
`DATABASE_USER`	`principal.user.user_display_name`	מיפוי ישיר אם השדה לא ריק או `/`.
`DBID`	`metadata.product_log_id`	ממופה ישירות אחרי הסרת המירכאות הבודדות.
`DBNAME`	`target.resource.resource_type`, `target.resource.resource_subtype`, `target.resource.name`	מגדירה את `resource_type` ל-`DATABASE`, את `resource_subtype` ל-`Oracle Database` וממפה את `DBNAME` ל-`name`.
`DBPROXY_USERRNAME`	`intermediary[dbproxy].user.userid`	ממופים ישירות.
`DBUSERNAME`	`target.user.user_display_name`	ממופים ישירות.
`ENTRYID`	`target.resource.attribute.labels[entry_id_label].value`	ממופה ישירות למקש `Entry Id`.
`EXTERNAL_USERID`	`additional.fields[external_userid_label].value.string_value`	ממופה ישירות למקש `EXTERNAL_USERID`.
`LENGTH`	`additional.fields[length_label].value.string_value`	ממופה ישירות למקש `length`.
`LOGOFF$DEAD`	`target.resource.attribute.labels[LOGOFFDEAD_label].value`	ממופה ישירות למקש `LOGOFFDEAD`.
`LOGOFF$LREAD`	`target.resource.attribute.labels[LOGOFFLREAD_label].value`	ממופה ישירות למקש `LOGOFFLREAD`.
`LOGOFF$LWRITE`	`target.resource.attribute.labels[LOGOFFLWRITE_label].value`	ממופה ישירות למקש `LOGOFFLWRITE`.
`LOGOFF$PREAD`	`target.resource.attribute.labels[LOGOFFPREAD_label].value`	ממופה ישירות למקש `LOGOFFPREAD`.
`NTIMESTAMP#`	`metadata.event_timestamp`	מנותח ומומר לפורמט RFC 3339 או ISO8601.
`OBJCREATOR`	`target.resource.attribute.labels[obj_creator_label].value`	ממופה ישירות למקש `OBJ Creator`.
`OBJNAME`	`target.resource.attribute.labels[obj_name_label].value`	ממופה ישירות למקש `OBJ Name`.
`OS_USERNAME`	`principal.user.user_display_name`	ממופים ישירות.
`OSUSERID`	`target.user.userid`	ממופים ישירות.
`PDB_GUID`	`principal.resource.product_object_id`	מיפוי ישיר.
`PRIV$USED`	`additional.fields[privused_label].value.string_value`	ממופה ישירות למקש `privused`.
`PRIVILEGE`	`principal.user.attribute.permissions.name`	ממופים ישירות.
`RETURN_CODE`	`security_result.summary`	ממופים ישירות. המערכת מפעילה לוגיקה כדי להסיק את `security_result.action` ו-`security_result.description`.
`RETURNCODE`	`security_result.summary`	ממופים ישירות. הלוגיקה מיושמת כדי להסיק את הערכים של `security_result.action` ושל `security_result.description`.
`RLS_INFO`	`additional.fields[rls_info_label].value.string_value`	ממופה ישירות למקש `RLS_INFO`.
`SCHEMA`	`additional.fields[schema_label].value.string_value`	ממופה ישירות למקש `schema`.
`SESSIONCPU`	`target.resource.attribute.labels[SESSIONCPU_label].value`	ממופה ישירות למקש `SESSIONCPU`.
`SESSIONID`	`network.session_id`	מיפוי ישיר.
`SESID`	`network.session_id`	ממופים ישירות.
`SQL_TEXT`	`target.process.command_line`	ממופים ישירות.
`SQLTEXT`	`target.process.command_line`	ממופים ישירות.
`STATEMENT`	`target.resource.attribute.labels[statement_label].value`	ממופה ישירות למקש `STATEMENT`.
`STATUS`	`security_result.summary`	מיפוי ישיר. הלוגיקה מיושמת כדי להסיק את הערכים של `security_result.action` ושל `security_result.description`.
`SYSTEM_PRIVILEGE_USED`	`additional.fields[system_privilege_used_label].value.string_value`	ממופה ישירות למקש `SYSTEM_PRIVILEGE_USED`.
`TARGET_USER`	`additional.fields[target_user_label].value.string_value`	ממופה ישירות עם המקש `TARGET_USER`.
`TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	ממופה ישירות למקש `CLIENT_TERMINAL`.
`TYPE`	`additional.fields[type_label].value.string_value`	ממופה ישירות למקש `type`.
`USERHOST`	`principal.hostname`, `principal.administrative_domain`	שם המארח והדומיין מחולצים באמצעות דפוסי grok.
`USERID`	`principal.user.userid`	ממופים ישירות.
`device_host_name`	`target.hostname`	מיפוי ישיר.
`event_name`	`metadata.product_event_type`	ממופה ישירות אחרי המרה לאותיות רישיות.
`file_name`	`target.file.full_path`	ממופים ישירות.
`hostname`	`principal.hostname`	ממופים ישירות.
`length`	`additional.fields[length_label].value.string_value`	ממופה ישירות למקש `length`.
`log_source_name`	`principal.application`	ממופים ישירות.
`message`	שונים	משמש לניתוח Grok כדי לחלץ כמה שדות.
`returncode`	`RETURNCODE`	ממופים ישירות.
`src_ip`	`principal.ip`	ממופים ישירות.
`t_hostname`	`target.hostname`	ממופים ישירות.
(Parser Logic)	`metadata.vendor_name`	מקודד בתוך הקוד ל-`Oracle`.
(לוגיקת הניתוח)	`metadata.product_name`	הוזן קוד קשיח ל-`Oracle DB`.
(לוגיקת הניתוח)	`metadata.event_type`	נקבע על סמך הערכים של `ACTION`, `ACTION_NUMBER`, `source_event`, `OSUSERID`, `USERID`, `SQLTEXT`, `AUTHENTICATION_TYPE`, `DBUSERNAME`, `device_host_name`, `database_name`. אם לא מתקיים תנאי ספציפי, ברירת המחדל היא `USER_RESOURCE_ACCESS`.
(Parser Logic)	`metadata.product_event_type`	נקבע על סמך הערכים של `ACTION`, `ACTION_NUMBER`, `source_event`, `p_event_type`, `ACTION_NAME`.
(Parser Logic)	`metadata.log_type`	הוזן קוד קשיח ל-`ORACLE_DB`.
(Parser Logic)	`extensions.auth.mechanism`	הערך מוגדר ל-`USERNAME_PASSWORD` בתנאים מסוימים על סמך `ACTION`, ‏`ACTION_NUMBER`, ‏`source_event` ו-`OSUSERID`.
(Parser Logic)	`extensions.auth.type`	מוגדר כ-`AUTHTYPE_UNSPECIFIED` בתנאים מסוימים על סמך `ACTION`,‏ `ACTION_NUMBER` ו-`AUTHENTICATION_TYPE`.
(Parser Logic)	`security_result.description`	נגזר מ-`RETURNCODE` או מ-`STATUS`.
(Parser Logic)	`security_result.action`	נגזר מ-`RETURNCODE` או מ-`STATUS`.
(Parser Logic)	`target.resource.attribute.labels`	כמה תוויות מתווספות על סמך הנוכחות והערכים של שדות שונים ביומן.
(Parser Logic)	`additional.fields`	כמה שדות נוספים כצמדי מפתח/ערך על סמך הנוכחות והערכים של שדות שונים ביומן.
(לוגיקת הניתוח)	`intermediary`	נוצר ומאוכלס על סמך הנוכחות והערכים של `DBPROXY_USERRNAME` ושל `CLIENT_ADDRESS`.
(לוגיקת הניתוח)	`network.ip_protocol`	הפרוטוקול נגזר מ-`CLIENT_ADDRESS` באמצעות קובץ include‏ `parse_ip_protocol.include`.
`has_target_user`	`event.idm.read_only_udm.target.user.userid`	מופה מיומן השינויים
`GRANTEE`	`event.idm.read_only_udm.target.user.userid`	מופה מיומן השינויים
`EXTENDED_TIMESTAMP`	`event.idm.read_only_udm.metadata.event_timestamp`	מופה מיומן השינויים
`USERNAME`	`event.idm.read_only_udm.principal.user.userid`	מופה מיומן השינויים
`SRC_DATABASE`	`event.idm.read_only_udm.target.application`	מופה מיומן השינויים
`DBID`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`OBJ_NAME`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`OS_USERNAME`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`OWNER`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`NEW_OWNER`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`NEW_NAME`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`OBJ_PRIVILEGE`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ADMIN_OPTION`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`SES_ACTIONS`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`LOGOFF_TIME`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`LOGOFF_LREAD`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`LOGOFF_PREAD`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`LOGOFF_LWRITE`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`LOGOFF_DLOCK`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ECONTEXT_ID`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`SESSION_CPU`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`PROXY_SESSIONID`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`GLOBAL_UID`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`SQL_BIND`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`SQL_TEXT`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`OBJ_EDITION_NAME`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`COMMENT_TEXT`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`comment_principal_ip`	`event.idm.read_only_udm.principal.ip` וגם `event.idm.read_only_udm.principal.asset.ip`	מופה מיומן השינויים
`comment_principal_port`	`event.idm.read_only_udm.principal.port`	מופה מיומן השינויים
`priority`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`facility`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`inter_ip`	`event.idm.read_only_udm.intermediary.ip`	מופה מיומן השינויים
`inter_port`	`event.idm.read_only_udm.intermediary.port`	מופה מיומן השינויים
`HOST_ID`	`event.idm.read_only_udm.intermediary.hostname`	מופה מיומן השינויים
`SYS_PRIVILEGE`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`PRIV_USED`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`OS_PROCESS`	`event.idm.read_only_udm.principal.process.pid`	מופה מיומן השינויים
`TRANSACTIONID`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`SCN`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`INSTANCE_NUMBER`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`ENTRY_ID`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`STATEMENTID`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`intermediary_hostname`	`event.idm.read_only_udm.intermediary_hostname`	מופה מיומן השינויים
`org_id" and "comp_id`	`additional.fields`	מופה מיומן השינויים
`host_addr`	`principal.ip`	מופה מיומן השינויים
`host_id`	`principal.hostname`	מופה מיומן השינויים
`level`	`security_result.severity_details`	מופה מיומן השינויים
`LENGTH", "LOGOFFDEAD", "LOGOFFLREAD", "LOGOFFLWRITE", "LOGOFFPREAD", "SESSIONCPU", "CLIENT_TERMINAL`	`target.resource.attribute.labels`	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.