Raccogli i log di Oracle DB

Supportato in:

Questo documento spiega come importare i log di Oracle DB in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae i campi dai messaggi SYSLOG, gestendo più formati utilizzando pattern grok e l'analisi sintattica chiave-valore. Quindi, mappa questi campi estratti al modello dei dati unificato (UDM), arricchendo i dati con metadati statici come i nomi dei fornitori e dei prodotti e impostando dinamicamente i tipi di eventi in base a valori di campo specifici come ACTION e USERID.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'host Oracle Database
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso con privilegi all'istanza del database Oracle (ruolo SYSDBA o AUDIT_ADMIN)
  • Oracle Database 19c o versioni successive con controllo unificato abilitato (o controllo in modalità mista su Oracle 12c-18c)

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.

  4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/oracle_db:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ORACLE_DB
        raw_log_field: body
log_type: 'ORACLE_DB'
        ingestion_labels:

service:
    pipelines:
        logs/oracle_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/oracle_db

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del destinatario:

    • listen_address: L'indirizzo IP e la porta su cui ascoltare:
      • Sostituisci 0.0.0.0 con un indirizzo IP specifico per ascoltare su un'interfaccia o lascia 0.0.0.0 per ascoltare su tutte le interfacce (opzione consigliata).
      • Sostituisci 514 con il numero di porta corrispondente alla configurazione di inoltro di syslog di Oracle

  • Configurazione dell'esportatore:

    • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato nella sezione Recupera l'ID cliente Google SecOps
    • endpoint: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per verificare la presenza di errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura l'audit unificato di Oracle Database e l'inoltro di syslog

Abilitare il controllo unificato

Se il controllo unificato non è ancora abilitato, ricollega i file binari Oracle con l'opzione uniaud_on. Per farlo, è necessario arrestare tutti i processi Oracle in esecuzione da Oracle Home (istanza del database e listener).

  1. Connettiti all'host Oracle Database come utente del sistema operativo oracle.

  2. Arresta l'istanza Oracle e il listener:

    sqlplus / as sysdba <<EOF
shutdown immediate;
exit
EOF
lsnrctl stop

  3. Ricollega i file binari Oracle con il controllo unificato abilitato:

    cd $ORACLE_HOME/rdbms/lib
make -f ins_rdbms.mk uniaud_on ioracle

  4. Avvia il listener e l'istanza Oracle:

    lsnrctl start
sqlplus / as sysdba <<EOF
startup;
exit
EOF

  5. Se Oracle Enterprise Manager Cloud Control è in esecuzione sullo stesso host, riavvialo:

    cd /u01/app/oracle/product/middleware/oms
export OMS_HOME=/u01/app/oracle/product/middleware/oms
$OMS_HOME/bin/emctl start oms

  6. Verifica che il controllo unificato sia abilitato. Connettiti al database Oracle con SQLplus:

    SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';

Verifica che il comando restituisca una riga con VALUE uguale a TRUE.

Configura l'output syslog di controllo unificato

Imposta il parametro di inizializzazione UNIFIED_AUDIT_SYSTEMLOG per scrivere record di controllo unificati in syslog. Questo parametro è stato introdotto in Oracle 19c e sostituisce il parametro AUDIT_SYSLOG_LEVEL deprecato (che si applica solo all'audit tradizionale).

  1. Connettiti al database Oracle con SQLplus come SYSDBA.

  2. Imposta il parametro UNIFIED_AUDIT_SYSTEMLOG:

    • Sui sistemi UNIX/Linux, imposta il parametro su un valore facility.priority:
    ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
    • Sui sistemi Windows, imposta il parametro su TRUE per scrivere nel Visualizzatore eventi di Windows:
    ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;

  3. (Facoltativo) Per scrivere record di policy di controllo unificato comuni da un contenitore root CDB a syslog sui sistemi UNIX/Linux, imposta il parametro UNIFIED_AUDIT_COMMON_SYSTEMLOG:

    ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;

  4. Riavvia l'istanza di Oracle Database affinché le modifiche ai parametri abbiano effetto:

    SHUTDOWN IMMEDIATE;
STARTUP;

Configura il daemon syslog sull'host Oracle

Sull'host del database Oracle, configura il daemon syslog in modo che inoltri le voci di log di controllo all'agente Bindplane.

  1. Accedi all'host del database Oracle come root.

  2. Apri il file di configurazione syslog:

    • Su RHEL/CentOS/Oracle Linux con rsyslog:

      sudo vi /etc/rsyslog.conf

    • Sui sistemi meno recenti con syslog:

      sudo vi /etc/syslog.conf

  3. Aggiungi una regola di forwarding che corrisponda alla facility e alla priorità configurate in UNIFIED_AUDIT_SYSTEMLOG. Ad esempio, se imposti LOCAL7.INFO:

    • Per l'inoltro tramite UDP (corrispondente al ricevitore Bindplane udplog):

      local7.info @<BINDPLANE_HOST_IP>:514

    • Per l'inoltro tramite TCP (se Bindplane utilizza il ricevitore tcplog):

      local7.info @@<BINDPLANE_HOST_IP>:514

    • Sostituisci <BINDPLANE_HOST_IP> con l'indirizzo IP o il nome host del sistema che esegue l'agente Bindplane.

  4. (Facoltativo) Per conservare anche una copia locale dei log di controllo, aggiungi la seguente riga:

    ```none
local7.info /var/log/oracle_audit.log
```

  5. Salva il file e riavvia il daemon syslog:

    • Su RHEL/CentOS/Oracle Linux con rsyslog:

      sudo systemctl restart rsyslog

    • Sui sistemi meno recenti con syslog:

      sudo service syslog restart

Verificare l'inoltro del log di controllo

  1. Genera un evento di controllo di test eseguendo un'azione controllabile nel database Oracle. Ad esempio, connettiti come utente ed esegui:

    SELECT * FROM DBA_USERS WHERE ROWNUM = 1;

  2. Controlla i log dell'agente Bindplane per i messaggi syslog in entrata:

    sudo journalctl -u observiq-otel-collector -f

  3. Verifica che il messaggio syslog contenga il tag Oracle Unified Audit con coppie chiave-valore come TYPE, DBID, SESID, DBUSER, ACTION e RETCODE.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
ACTION security_result.action_details Il valore di ACTION del log non elaborato viene mappato direttamente a questo campo UDM. Viene applicata una logica aggiuntiva per determinare security_result.action e security_result.description in base al valore di ACTION (ad esempio, 100 corrisponde a ALLOW e Success).
ACTION_NAME metadata.product_event_type Mappato direttamente.
ACTION_NUMBER additional.fields[action_number].value.string_value Mappato direttamente con la chiave Source Event. Utilizzato anche in combinazione con altri campi per derivare metadata.event_type e metadata.product_event_type.
APPLICATION_CONTEXTS additional.fields[application_contexts_label].value.string_value Mappato direttamente con la chiave APPLICATION_CONTEXTS.
AUDIT_POLICY additional.fields[audit_policy_label].value.string_value o additional.fields[AUDIT_POLICY_#].value.string_value Se AUDIT_POLICY contiene una virgola, viene suddiviso in più etichette con chiavi come AUDIT_POLICY_0, AUDIT_POLICY_1 e così via. In caso contrario, viene mappato direttamente con la chiave AUDIT_POLICY.
AUDIT_TYPE additional.fields[audit_type_label].value.string_value Mappato direttamente con la chiave AUDIT_TYPE.
AUTHENTICATION_TYPE metadata.event_type, extensions.auth.type Utilizzato per derivare metadata.event_type come USER_LOGIN se auth_type (estratto da AUTHENTICATION_TYPE) non è vuoto e vengono soddisfatte altre condizioni. extensions.auth.type è impostato su AUTHTYPE_UNSPECIFIED.
CLIENT_ADDRESS principal.ip, principal.port, network.ip_protocol, intermediary[host].user.userid IP, porta e protocollo vengono estratti utilizzando i pattern grok. Se nel campo CLIENT_ADDRESS è presente un nome utente, questo viene mappato a intermediary[host].user.userid.
CLIENT_ID target.user.userid Mappato direttamente.
CLIENT_PROGRAM_NAME additional.fields[client_program_name_label].value.string_value Mappato direttamente con la chiave CLIENT_PROGRAM_NAME.
CLIENT_TERMINAL additional.fields[CLIENT_TERMINAL_label].value Mappato direttamente con la chiave CLIENT_TERMINAL.
CLIENT_USER target.user.user_display_name Mappato direttamente.
COMMENT$TEXT additional.fields[comment_text_label].value.string_value Mappato direttamente con la chiave comment_text dopo aver sostituito + con :.
CURRENT_USER additional.fields[current_user_label].value.string_value Mappato direttamente con la chiave current_user.
CURUSER additional.fields[current_user_label].value.string_value Mappato direttamente con la chiave current_user.
DATABASE_USER principal.user.user_display_name Mappato direttamente se non vuoto o /.
DBID metadata.product_log_id Mappato direttamente dopo aver rimosso le virgolette singole.
DBNAME target.resource.resource_type, target.resource.resource_subtype, target.resource.name Imposta resource_type su DATABASE, resource_subtype su Oracle Database e mappa DBNAME su name.
DBPROXY_USERRNAME intermediary[dbproxy].user.userid Mappato direttamente.
DBUSERNAME target.user.user_display_name Mappato direttamente.
ENTRYID target.resource.attribute.labels[entry_id_label].value Mappato direttamente con la chiave Entry Id.
EXTERNAL_USERID additional.fields[external_userid_label].value.string_value Mappato direttamente con la chiave EXTERNAL_USERID.
LENGTH additional.fields[length_label].value.string_value Mappato direttamente con la chiave length.
LOGOFF$DEAD target.resource.attribute.labels[LOGOFFDEAD_label].value Mappato direttamente con la chiave LOGOFFDEAD.
LOGOFF$LREAD target.resource.attribute.labels[LOGOFFLREAD_label].value Mappato direttamente con la chiave LOGOFFLREAD.
LOGOFF$LWRITE target.resource.attribute.labels[LOGOFFLWRITE_label].value Mappato direttamente con la chiave LOGOFFLWRITE.
LOGOFF$PREAD target.resource.attribute.labels[LOGOFFPREAD_label].value Mappato direttamente con la chiave LOGOFFPREAD.
NTIMESTAMP# metadata.event_timestamp Analizzato e convertito nel formato RFC 3339 o ISO8601.
OBJCREATOR target.resource.attribute.labels[obj_creator_label].value Mappato direttamente con la chiave OBJ Creator.
OBJNAME target.resource.attribute.labels[obj_name_label].value Mappato direttamente con la chiave OBJ Name.
OS_USERNAME principal.user.user_display_name Mappato direttamente.
OSUSERID target.user.userid Mappato direttamente.
PDB_GUID principal.resource.product_object_id Mappato direttamente.
PRIV$USED additional.fields[privused_label].value.string_value Mappato direttamente con la chiave privused.
PRIVILEGE principal.user.attribute.permissions.name Mappato direttamente.
RETURN_CODE security_result.summary Mappato direttamente. La logica viene applicata per derivare security_result.action e security_result.description.
RETURNCODE security_result.summary Mappato direttamente. La logica viene applicata per derivare security_result.action e security_result.description.
RLS_INFO additional.fields[rls_info_label].value.string_value Mappato direttamente con la chiave RLS_INFO.
SCHEMA additional.fields[schema_label].value.string_value Mappato direttamente con la chiave schema.
SESSIONCPU target.resource.attribute.labels[SESSIONCPU_label].value Mappato direttamente con la chiave SESSIONCPU.
SESSIONID network.session_id Mappato direttamente.
SESID network.session_id Mappato direttamente.
SQL_TEXT target.process.command_line Mappato direttamente.
SQLTEXT target.process.command_line Mappato direttamente.
STATEMENT target.resource.attribute.labels[statement_label].value Mappato direttamente con la chiave STATEMENT.
STATUS security_result.summary Mappato direttamente. La logica viene applicata per ricavare security_result.action e security_result.description.
SYSTEM_PRIVILEGE_USED additional.fields[system_privilege_used_label].value.string_value Mappato direttamente con la chiave SYSTEM_PRIVILEGE_USED.
TARGET_USER additional.fields[target_user_label].value.string_value Mappato direttamente con la chiave TARGET_USER.
TERMINAL additional.fields[CLIENT_TERMINAL_label].value Mappato direttamente con la chiave CLIENT_TERMINAL.
TYPE additional.fields[type_label].value.string_value Mappato direttamente con la chiave type.
USERHOST principal.hostname, principal.administrative_domain Il nome host e il dominio vengono estratti utilizzando i pattern grok.
USERID principal.user.userid Mappato direttamente.
device_host_name target.hostname Mappato direttamente.
event_name metadata.product_event_type Mappati direttamente dopo la conversione in lettere maiuscole.
file_name target.file.full_path Mappato direttamente.
hostname principal.hostname Mappato direttamente.
length additional.fields[length_label].value.string_value Mappato direttamente con la chiave length.
log_source_name principal.application Mappato direttamente.
message Varie Utilizzato per l'analisi Grok per estrarre diversi campi.
returncode RETURNCODE Mappato direttamente.
src_ip principal.ip Mappato direttamente.
t_hostname target.hostname Mappato direttamente.
(Logica del parser) metadata.vendor_name Codificato in modo permanente su Oracle.
(Logica del parser) metadata.product_name Codificato in modo permanente su Oracle DB.
(Logica del parser) metadata.event_type Determinato in base ai valori di ACTION, ACTION_NUMBER, source_event, OSUSERID, USERID, SQLTEXT, AUTHENTICATION_TYPE, DBUSERNAME, device_host_name, database_name. Il valore predefinito è USER_RESOURCE_ACCESS se non viene soddisfatta nessuna condizione specifica.
(Logica del parser) metadata.product_event_type Determinato in base ai valori di ACTION, ACTION_NUMBER, source_event, p_event_type, ACTION_NAME.
(Logica del parser) metadata.log_type Codificato in modo permanente su ORACLE_DB.
(Logica del parser) extensions.auth.mechanism Impostato su USERNAME_PASSWORD in determinate condizioni in base a ACTION, ACTION_NUMBER, source_event e OSUSERID.
(Logica del parser) extensions.auth.type Impostato su AUTHTYPE_UNSPECIFIED in determinate condizioni in base a ACTION, ACTION_NUMBER e AUTHENTICATION_TYPE.
(Logica del parser) security_result.description Derivato da RETURNCODE o STATUS.
(Logica del parser) security_result.action Derivato da RETURNCODE o STATUS.
(Logica del parser) target.resource.attribute.labels Vengono aggiunte diverse etichette in base alla presenza e ai valori di vari campi del log.
(Logica del parser) additional.fields Vengono aggiunti diversi campi come coppie chiave-valore in base alla presenza e ai valori di vari campi di log.
(Logica del parser) intermediary Creato e compilato in base alla presenza e ai valori di DBPROXY_USERRNAME e CLIENT_ADDRESS.
(Logica del parser) network.ip_protocol Derivato dal protocollo estratto da CLIENT_ADDRESS utilizzando un file di inclusione parse_ip_protocol.include.
has_target_user event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
GRANTEE event.idm.read_only_udm.target.user.userid Mappato dal log delle modifiche
EXTENDED_TIMESTAMP event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
USERNAME event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
SRC_DATABASE event.idm.read_only_udm.target.application Mappato dal log delle modifiche
DBID event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
OBJ_NAME event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
OS_USERNAME event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
OWNER event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
NEW_OWNER event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
NEW_NAME event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
OBJ_PRIVILEGE event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ADMIN_OPTION event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
SES_ACTIONS event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
LOGOFF_TIME event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
LOGOFF_LREAD event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
LOGOFF_PREAD event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
LOGOFF_LWRITE event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
LOGOFF_DLOCK event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ECONTEXT_ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
SESSION_CPU event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
PROXY_SESSIONID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
GLOBAL_UID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
SQL_BIND event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
SQL_TEXT event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
OBJ_EDITION_NAME event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
COMMENT_TEXT event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
comment_principal_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
comment_principal_port event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
priority event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
facility event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
inter_ip event.idm.read_only_udm.intermediary.ip Mappato dal log delle modifiche
inter_port event.idm.read_only_udm.intermediary.port Mappato dal log delle modifiche
HOST_ID event.idm.read_only_udm.intermediary.hostname Mappato dal log delle modifiche
SYS_PRIVILEGE event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
PRIV_USED event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
OS_PROCESS event.idm.read_only_udm.principal.process.pid Mappato dal log delle modifiche
TRANSACTIONID event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
SCN event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
INSTANCE_NUMBER event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
ENTRY_ID event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
STATEMENTID event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
intermediary_hostname event.idm.read_only_udm.intermediary_hostname Mappato dal log delle modifiche
org_id" and "comp_id additional.fields Mappato dal log delle modifiche
host_addr principal.ip Mappato dal log delle modifiche
host_id principal.hostname Mappato dal log delle modifiche
level security_result.severity_details Mappato dal log delle modifiche
LENGTH", "LOGOFFDEAD", "LOGOFFLREAD", "LOGOFFLWRITE", "LOGOFFPREAD", "SESSIONCPU", "CLIENT_TERMINAL target.resource.attribute.labels Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.