Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Oracle DB ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Oracle DB ログを Google Security Operations に取り込む方法について説明します。

パーサーは、grok パターンと Key-Value 解析を使用して複数の形式を処理し、SYSLOG メッセージからフィールドを抽出します。次に、抽出されたフィールドを統合データモデル（UDM）にマッピングし、ベンダー名やプロダクト名などの静的メタデータでデータを拡充し、ACTION や USERID などの特定のフィールド値に基づいてイベントタイプを動的に設定します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと Oracle Database ホスト間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
Oracle Database インスタンスへの特権アクセス（SYSDBA または AUDIT_ADMIN ロール）
統合監査が有効になっている Oracle Database 19c 以降（または Oracle 12c ～ 18c の混合モード監査）

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane をインストールするシステムにファイルを安全に保存します。

注: この JSON ファイルには、Bindplane エージェントを Google SecOps に認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者としてコマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスは RUNNING と表示されます。

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスは active (running) と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/oracle_db:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: ORACLE_DB
        raw_log_field: body
log_type: 'ORACLE_DB'
        ingestion_labels:

service:
    pipelines:
        logs/oracle_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/oracle_db

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- listen_address: リッスンする IP アドレスとポート。
  - 0.0.0.0 は、1 つのインターフェースでリッスンする特定の IP アドレスに置き換えます。または、0.0.0.0 のままにして、すべてのインターフェースでリッスンします（推奨）。
  - 514 は、Oracle syslog 転送構成に一致するポート番号に置き換えます。
エクスポータの構成:
- creds_file_path: 取り込み認証ファイルのフルパス。
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Google SecOps お客様 ID を取得するセクションでコピーしたお客様 ID
- endpoint: リージョンエンドポイント URL:
  - 米国: malachiteingestion-pa.googleapis.com
  - ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
  - アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
  - 完全なリストについては、リージョンエンドポイントをご覧ください。

構成ファイルを保存する

編集後、ファイルを保存します。
- Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
- Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
1. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
2. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
- 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- サービスコンソール:
  1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
  2. observIQ OpenTelemetry Collector を見つけます。
  3. 右クリックして [再起動] を選択します。
  4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
  5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Oracle Database 統合監査と syslog 転送を構成する

統合監査を有効にする

統合監査がまだ有効になっていない場合は、uniaud_on オプションを使用して Oracle バイナリを再リンクします。これには、Oracle Home（データベースインスタンスとリスナー）から実行されているすべての Oracle プロセスをシャットダウンする必要があります。

oracle オペレーティングシステムユーザーとして Oracle Database ホストに接続します。

Oracle インスタンスとリスナーをシャットダウンします。

sqlplus / as sysdba <<EOF
shutdown immediate;
exit
EOF
lsnrctl stop

統合監査を有効にして Oracle バイナリを再リンクします。
```
cd $ORACLE_HOME/rdbms/lib
make -f ins_rdbms.mk uniaud_on ioracle
```

リスナーと Oracle インスタンスを起動します。

lsnrctl start
sqlplus / as sysdba <<EOF
startup;
exit
EOF

Oracle Enterprise Manager Cloud Control が同じホストで実行されている場合は、再起動します。

cd /u01/app/oracle/product/middleware/oms
export OMS_HOME=/u01/app/oracle/product/middleware/oms
$OMS_HOME/bin/emctl start oms

統合監査が有効になっていることを確認します。SQLplus を使用して Oracle Database に接続します。
```
SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';
```

コマンドから VALUE が TRUE と等しい 1 行が返されることを確認します。

統合監査の syslog 出力を構成する

UNIFIED_AUDIT_SYSTEMLOG 初期化パラメータを設定して、統合監査レコードを syslog に書き込みます。このパラメータは Oracle 19c で導入され、非推奨の AUDIT_SYSLOG_LEVEL パラメータ（従来の監査にのみ適用）に代わるものです。

SQLplus を使用して SYSDBA として Oracle Database に接続します。
UNIFIED_AUDIT_SYSTEMLOG パラメータを設定します。
- UNIX/Linux システムでは、パラメータを facility.priority 値に設定します。
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
```
- Windows システムで、Windows イベントビューアに書き込むには、パラメータを TRUE に設定します。
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
省略可: CDB ルートコンテナから UNIX/Linux システムの syslog に共通の統合監査ポリシーレコードを書き込むには、UNIFIED_AUDIT_COMMON_SYSTEMLOG パラメータを設定します。
```
ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
注: UNIFIED_AUDIT_COMMON_SYSTEMLOG は、CDB のルートコンテナでのみ設定できます。Windows に相当する機能はありません。
パラメータの変更を有効にするため、Oracle Database インスタンスを再起動します。
```
SHUTDOWN IMMEDIATE;
STARTUP;
```

Oracle ホストで syslog デーモンを構成する

Oracle Database ホストで、監査ログエントリを Bindplane エージェントに転送するように syslog デーモンを構成します。

root として Oracle Database ホストにログインします。
syslog 構成ファイルを開きます。
- rsyslog を使用する RHEL/CentOS/Oracle Linux の場合:
```
sudo vi /etc/rsyslog.conf
```
- syslog を使用する古いシステムの場合:
```
sudo vi /etc/syslog.conf
```
UNIFIED_AUDIT_SYSTEMLOG で構成したファシリティと優先度に一致する転送ルールを追加します。たとえば、LOCAL7.INFO を設定した場合:
- UDP 経由で転送するには（Bindplane udplog レシーバと一致）:
```
local7.info @<BINDPLANE_HOST_IP>:514
```
- TCP 経由で転送する場合（Bindplane が tcplog レシーバーを使用している場合）:
```
local7.info @@<BINDPLANE_HOST_IP>:514
```
- <BINDPLANE_HOST_IP> は、Bindplane エージェントを実行しているシステムの IP アドレスまたはホスト名に置き換えます。
注: 単一の @ プレフィックスは UDP 転送を示します。@@ 接頭辞が 2 つある場合は、TCP 転送を示します。Bindplane config.yaml のレシーバータイプと一致していることを確認します。
省略可: 監査ログのローカルコピーも保持するには、次の行を追加します。
```
```none
local7.info /var/log/oracle_audit.log
```
```
ファイルを保存して、syslog デーモンを再起動します。
- rsyslog を使用する RHEL/CentOS/Oracle Linux の場合:
```
sudo systemctl restart rsyslog
```
- syslog を使用する古いシステムの場合:
```
sudo service syslog restart
```

監査ログの転送を確認する

Oracle Database で監査可能なアクションを実行して、テスト監査イベントを生成します。たとえば、ユーザーとして接続して次のコマンドを実行します。
```
SELECT * FROM DBA_USERS WHERE ROWNUM = 1;
```
Bindplane エージェントログで、受信した syslog メッセージを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
syslog メッセージに、TYPE、DBID、SESID、DBUSER、ACTION、RETCODE などの Key-Value ペアを含む Oracle Unified Audit タグが含まれていることを確認します。

注: 統合監査レコードフィールドのサブセットのみが syslog に書き込まれます。完全な監査レコードは、データベース内の UNIFIED_AUDIT_TRAIL ビューに保存されます。通常、Syslog エントリは 1,024 バイトに制限されています。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`ACTION`	`security_result.action_details`	未加工ログの `ACTION` の値は、この UDM フィールドに直接マッピングされます。`ACTION` の値に基づいて `security_result.action` と `security_result.description` を決定するために、追加のロジックが適用されます（たとえば、`100` は `ALLOW` と `Success` にマッピングされます）。
`ACTION_NAME`	`metadata.product_event_type`	直接マッピングされます。
`ACTION_NUMBER`	`additional.fields[action_number].value.string_value`	キー `Source Event` で直接マッピングされます。他のフィールドと組み合わせて `metadata.event_type` と `metadata.product_event_type` を導出するためにも使用されます。
`APPLICATION_CONTEXTS`	`additional.fields[application_contexts_label].value.string_value`	キー `APPLICATION_CONTEXTS` で直接マッピングされます。
`AUDIT_POLICY`	`additional.fields[audit_policy_label].value.string_value` または `additional.fields[AUDIT_POLICY_#].value.string_value`	`AUDIT_POLICY` にカンマが含まれている場合は、`AUDIT_POLICY_0`、`AUDIT_POLICY_1` などのキーを持つ複数のラベルに分割されます。それ以外の場合は、キー `AUDIT_POLICY` に直接マッピングされます。
`AUDIT_TYPE`	`additional.fields[audit_type_label].value.string_value`	キー `AUDIT_TYPE` で直接マッピングされます。
`AUTHENTICATION_TYPE`	`metadata.event_type`、`extensions.auth.type`	`auth_type`（`AUTHENTICATION_TYPE` から抽出）が空ではなく、他の条件が満たされている場合に、`metadata.event_type` を `USER_LOGIN` として取得するために使用されます。`extensions.auth.type` が `AUTHTYPE_UNSPECIFIED` に設定されている。
`CLIENT_ADDRESS`	`principal.ip`、`principal.port`、`network.ip_protocol`、`intermediary[host].user.userid`	IP、ポート、プロトコルは、grok パターンを使用して抽出されます。ユーザー名が `CLIENT_ADDRESS` フィールドに存在する場合は、`intermediary[host].user.userid` にマッピングされます。
`CLIENT_ID`	`target.user.userid`	直接マッピングされます。
`CLIENT_PROGRAM_NAME`	`additional.fields[client_program_name_label].value.string_value`	キー `CLIENT_PROGRAM_NAME` で直接マッピングされます。
`CLIENT_TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	キー `CLIENT_TERMINAL` で直接マッピングされます。
`CLIENT_USER`	`target.user.user_display_name`	直接マッピングされます。
`COMMENT$TEXT`	`additional.fields[comment_text_label].value.string_value`	`+` を `:` に置き換えた後、キー `comment_text` で直接マッピングされます。
`CURRENT_USER`	`additional.fields[current_user_label].value.string_value`	キー `current_user` で直接マッピングされます。
`CURUSER`	`additional.fields[current_user_label].value.string_value`	キー `current_user` で直接マッピングされます。
`DATABASE_USER`	`principal.user.user_display_name`	空でないか `/` でない場合、直接マッピングされます。
`DBID`	`metadata.product_log_id`	単一引用符を削除した後、直接マッピングされます。
`DBNAME`	`target.resource.resource_type`、`target.resource.resource_subtype`、`target.resource.name`	`resource_type` を `DATABASE` に、`resource_subtype` を `Oracle Database` に設定し、`DBNAME` を `name` にマッピングします。
`DBPROXY_USERRNAME`	`intermediary[dbproxy].user.userid`	直接マッピングされます。
`DBUSERNAME`	`target.user.user_display_name`	直接マッピングされます。
`ENTRYID`	`target.resource.attribute.labels[entry_id_label].value`	キー `Entry Id` で直接マッピングされます。
`EXTERNAL_USERID`	`additional.fields[external_userid_label].value.string_value`	キー `EXTERNAL_USERID` で直接マッピングされます。
`LENGTH`	`additional.fields[length_label].value.string_value`	キー `length` で直接マッピングされます。
`LOGOFF$DEAD`	`target.resource.attribute.labels[LOGOFFDEAD_label].value`	キー `LOGOFFDEAD` で直接マッピングされます。
`LOGOFF$LREAD`	`target.resource.attribute.labels[LOGOFFLREAD_label].value`	キー `LOGOFFLREAD` で直接マッピングされます。
`LOGOFF$LWRITE`	`target.resource.attribute.labels[LOGOFFLWRITE_label].value`	キー `LOGOFFLWRITE` で直接マッピングされます。
`LOGOFF$PREAD`	`target.resource.attribute.labels[LOGOFFPREAD_label].value`	キー `LOGOFFPREAD` で直接マッピングされます。
`NTIMESTAMP#`	`metadata.event_timestamp`	解析され、RFC 3339 形式または ISO8601 形式に変換されます。
`OBJCREATOR`	`target.resource.attribute.labels[obj_creator_label].value`	キー `OBJ Creator` で直接マッピングされます。
`OBJNAME`	`target.resource.attribute.labels[obj_name_label].value`	キー `OBJ Name` で直接マッピングされます。
`OS_USERNAME`	`principal.user.user_display_name`	直接マッピングされます。
`OSUSERID`	`target.user.userid`	直接マッピングされます。
`PDB_GUID`	`principal.resource.product_object_id`	直接マッピングされます。
`PRIV$USED`	`additional.fields[privused_label].value.string_value`	キー `privused` で直接マッピングされます。
`PRIVILEGE`	`principal.user.attribute.permissions.name`	直接マッピングされます。
`RETURN_CODE`	`security_result.summary`	直接マッピングされます。ロジックが適用され、`security_result.action` と `security_result.description` が導出されます。
`RETURNCODE`	`security_result.summary`	直接マッピングされます。ロジックが適用され、`security_result.action` と `security_result.description` が導出されます。
`RLS_INFO`	`additional.fields[rls_info_label].value.string_value`	キー `RLS_INFO` で直接マッピングされます。
`SCHEMA`	`additional.fields[schema_label].value.string_value`	キー `schema` で直接マッピングされます。
`SESSIONCPU`	`target.resource.attribute.labels[SESSIONCPU_label].value`	キー `SESSIONCPU` で直接マッピングされます。
`SESSIONID`	`network.session_id`	直接マッピングされます。
`SESID`	`network.session_id`	直接マッピングされます。
`SQL_TEXT`	`target.process.command_line`	直接マッピングされます。
`SQLTEXT`	`target.process.command_line`	直接マッピングされます。
`STATEMENT`	`target.resource.attribute.labels[statement_label].value`	キー `STATEMENT` で直接マッピングされます。
`STATUS`	`security_result.summary`	直接マッピングされます。`security_result.action` と `security_result.description` を導出するためにロジックが適用されます。
`SYSTEM_PRIVILEGE_USED`	`additional.fields[system_privilege_used_label].value.string_value`	キー `SYSTEM_PRIVILEGE_USED` で直接マッピングされます。
`TARGET_USER`	`additional.fields[target_user_label].value.string_value`	キー `TARGET_USER` で直接マッピングされます。
`TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	キー `CLIENT_TERMINAL` で直接マッピングされます。
`TYPE`	`additional.fields[type_label].value.string_value`	キー `type` で直接マッピングされます。
`USERHOST`	`principal.hostname`、`principal.administrative_domain`	ホスト名とドメインは、grok パターンを使用して抽出されます。
`USERID`	`principal.user.userid`	直接マッピングされます。
`device_host_name`	`target.hostname`	直接マッピングされます。
`event_name`	`metadata.product_event_type`	大文字に変換した後、直接マッピングされます。
`file_name`	`target.file.full_path`	直接マッピングされます。
`hostname`	`principal.hostname`	直接マッピングされます。
`length`	`additional.fields[length_label].value.string_value`	キー `length` で直接マッピングされます。
`log_source_name`	`principal.application`	直接マッピングされます。
`message`	各種	複数のフィールドを抽出する grok 解析に使用されます。
`returncode`	`RETURNCODE`	直接マッピングされます。
`src_ip`	`principal.ip`	直接マッピングされます。
`t_hostname`	`target.hostname`	直接マッピングされます。
（パーサーロジック）	`metadata.vendor_name`	`Oracle` にハードコードされています。
（パーサーロジック）	`metadata.product_name`	`Oracle DB` にハードコードされています。
（パーサーロジック）	`metadata.event_type`	`ACTION`、`ACTION_NUMBER`、`source_event`、`OSUSERID`、`USERID`、`SQLTEXT`、`AUTHENTICATION_TYPE`、`DBUSERNAME`、`device_host_name`、`database_name` の値に基づいて決定されます。特定の条件が満たされない場合、デフォルトは `USER_RESOURCE_ACCESS` です。
（パーサーロジック）	`metadata.product_event_type`	`ACTION`、`ACTION_NUMBER`、`source_event`、`p_event_type`、`ACTION_NAME` の値に基づいて決定されます。
（パーサーロジック）	`metadata.log_type`	`ORACLE_DB` にハードコードされています。
（パーサーロジック）	`extensions.auth.mechanism`	`ACTION`、`ACTION_NUMBER`、`source_event`、`OSUSERID` に基づく特定の条件で `USERNAME_PASSWORD` に設定されます。
（パーサーロジック）	`extensions.auth.type`	`ACTION`、`ACTION_NUMBER`、`AUTHENTICATION_TYPE` に基づく特定の条件で `AUTHTYPE_UNSPECIFIED` に設定します。
（パーサーロジック）	`security_result.description`	`RETURNCODE` または `STATUS` から取得されます。
（パーサーロジック）	`security_result.action`	`RETURNCODE` または `STATUS` から取得されます。
（パーサーロジック）	`target.resource.attribute.labels`	さまざまなログフィールドの有無と値に基づいて、複数のラベルが追加されます。
（パーサーロジック）	`additional.fields`	さまざまなログフィールドの有無と値に基づいて、複数のフィールドが Key-Value ペアとして追加されます。
（パーサーロジック）	`intermediary`	`DBPROXY_USERRNAME` と `CLIENT_ADDRESS` の有無と値に基づいて作成され、入力されます。
（パーサーロジック）	`network.ip_protocol`	インクルードファイル `parse_ip_protocol.include` を使用して `CLIENT_ADDRESS` から抽出されたプロトコルから派生。
`has_target_user`	`event.idm.read_only_udm.target.user.userid`	変更履歴からマッピング
`GRANTEE`	`event.idm.read_only_udm.target.user.userid`	変更履歴からマッピング
`EXTENDED_TIMESTAMP`	`event.idm.read_only_udm.metadata.event_timestamp`	変更履歴からマッピング
`USERNAME`	`event.idm.read_only_udm.principal.user.userid`	変更履歴からマッピング
`SRC_DATABASE`	`event.idm.read_only_udm.target.application`	変更履歴からマッピング
`DBID`	`event.idm.read_only_udm.target.resource.attribute.labels`	変更履歴からマッピング
`OBJ_NAME`	`event.idm.read_only_udm.target.resource.attribute.labels`	変更履歴からマッピング
`OS_USERNAME`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`OWNER`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`NEW_OWNER`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`NEW_NAME`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`OBJ_PRIVILEGE`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`ADMIN_OPTION`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`SES_ACTIONS`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`LOGOFF_TIME`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`LOGOFF_LREAD`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`LOGOFF_PREAD`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`LOGOFF_LWRITE`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`LOGOFF_DLOCK`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`ECONTEXT_ID`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`SESSION_CPU`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`PROXY_SESSIONID`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`GLOBAL_UID`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`SQL_BIND`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`SQL_TEXT`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`OBJ_EDITION_NAME`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`COMMENT_TEXT`	`event.idm.read_only_udm.security_result.description`	変更履歴からマッピング
`comment_principal_ip`	`event.idm.read_only_udm.principal.ip` と `event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`comment_principal_port`	`event.idm.read_only_udm.principal.port`	変更履歴からマッピング
`priority`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`facility`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`inter_ip`	`event.idm.read_only_udm.intermediary.ip`	変更履歴からマッピング
`inter_port`	`event.idm.read_only_udm.intermediary.port`	変更履歴からマッピング
`HOST_ID`	`event.idm.read_only_udm.intermediary.hostname`	変更履歴からマッピング
`SYS_PRIVILEGE`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`PRIV_USED`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`OS_PROCESS`	`event.idm.read_only_udm.principal.process.pid`	変更履歴からマッピング
`TRANSACTIONID`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`SCN`	`event.idm.read_only_udm.target.resource.attribute.labels`	変更履歴からマッピング
`INSTANCE_NUMBER`	`event.idm.read_only_udm.target.resource.attribute.labels`	変更履歴からマッピング
`ENTRY_ID`	`event.idm.read_only_udm.target.resource.attribute.labels`	変更履歴からマッピング
`STATEMENTID`	`event.idm.read_only_udm.target.resource.attribute.labels`	変更履歴からマッピング
`intermediary_hostname`	`event.idm.read_only_udm.intermediary_hostname`	変更履歴からマッピング
`org_id" and "comp_id`	`additional.fields`	変更履歴からマッピング
`host_addr`	`principal.ip`	変更履歴からマッピング
`host_id`	`principal.hostname`	変更履歴からマッピング
`level`	`security_result.severity_details`	変更履歴からマッピング
`LENGTH", "LOGOFFDEAD", "LOGOFFLREAD", "LOGOFFLWRITE", "LOGOFFPREAD", "SESSIONCPU", "CLIENT_TERMINAL`	`target.resource.attribute.labels`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。