Palo Alto Prisma Access CASB-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Palo Alto Prisma Access CASB-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen können.

Palo Alto Networks SaaS Security (auch als Next-Generation CASB bezeichnet) ist ein in der Cloud bereitgestellter Cloud Access Security Broker, der in Prisma Access integriert ist. Es bietet Transparenz und Kontrolle über genehmigte und nicht genehmigte SaaS-Anwendungen, erkennt Richtlinienverstöße, überwacht Nutzeraktivitäten und behebt Risiken in Cloud-Diensten. Datensicherheit, ein Teil von SaaS Security, generiert Logs für Vorfälle, Richtlinienverstöße, Maßnahmen zur Behebung, Aktivitätsüberwachung, Administrator-Audit-Ereignisse und Verhaltensbedrohungen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agenten und dem Palo Alto Networks SaaS Security-Dienst
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Palo Alto Networks SaaS Security-Lizenz (Datensicherheit), CASB-X-Lizenz oder CASB-PA-Lizenz
• Administratorzugriff auf Strata Cloud Manager mit Berechtigungen zum Konfigurieren von SaaS Security-Einstellungen
• Ein gültiges TLS-Zertifikat auf dem Syslog-Server (Datensicherheit erfordert TLS für Syslog-Verbindungen)

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:6514"
      tls:
        cert_file: '/opt/observiq-otel-collector/server.crt'
        key_file: '/opt/observiq-otel-collector/server.key'
  
  exporters:
    chronicle/pan_casb:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  
  service:
    pipelines:
      logs/pan_casb_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/pan_casb
  

  Hinweis: Datensicherheit erfordert TLS für Syslog-Verbindungen. Sie müssen TLS auf dem Bindplane-Agent-Empfänger mit einem gültigen Zertifikat konfigurieren. Wenn Sie ein selbst signiertes Zertifikat verwenden, legen Sie auf der Seite des Syslog-Servers die TLS-Option auf peer-verify(optional-untrusted) fest.

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: Auf 0.0.0.0:6514 festgelegt, um auf allen Schnittstellen auf Port 6514 (Standard-Syslog-over-TLS-Port) zu lauschen.
  • cert_file: Pfad zur TLS-Zertifikatsdatei für den Bindplane-Agenten.
  • key_file: Pfad zur Datei mit dem privaten TLS-Schlüssel für den Bindplane-Agent.

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Ihre Google SecOps-Kundennummer.
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • log_type: Muss genau PAN_CASB sein.
  • ingestion_labels: Optionale Labels zum Kategorisieren von Logs

Exporter für die Legacy Ingestion API

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/pan_casb:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

• Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
• Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Linux

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

Windows

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung für Palo Alto Networks SaaS Security konfigurieren

Wenn Sie SaaS Security Data Security-Logs an den Bindplane-Agent weiterleiten möchten, konfigurieren Sie einen Syslog-Empfänger in Strata Cloud Manager.

TLS-Zertifikat auf dem Bindplane-Agent-Host vorbereiten

Für die Datensicherheit sind TLS-verschlüsselte Syslog-Verbindungen erforderlich. Bevor Sie den Syslog-Empfänger konfigurieren, bereiten Sie das TLS-Zertifikat auf dem Bindplane-Agent-Host vor:

1. Signieren Sie ein selbst signiertes TLS-Zertifikat für den Bindplane-Agent-Host selbst oder rufen Sie ein solches ab.
2. Legen Sie die Zertifikats- und privaten Schlüsseldateien auf dem Bindplane-Agent-Host ab (z. B. /opt/observiq-otel-collector/server.crt und /opt/observiq-otel-collector/server.key).
3. Achten Sie darauf, dass in der Bindplane-Agent-Konfiguration im Abschnitt tls des Empfängers auf diese Dateien verwiesen wird.

Syslog-Empfänger in Strata Cloud Manager konfigurieren

1. Melden Sie sich in Strata Cloud Manager an.
2. Rufen Sie Konfiguration > SaaS-Sicherheit > Einstellungen > Verzeichnis und externe Dienste > Externe Dienste auf.
3. Klicken Sie auf Syslog-/API-Client hinzufügen.
4. Wählen Sie Syslog-Empfänger aus, um ein Syslog-Serverprofil zu erstellen.
5. Geben Sie im Feld Name einen aussagekräftigen Namen für das Profil ein, z. B. Chronicle-Bindplane.
6. Geben Sie die folgenden Konfigurationsdetails an:
   • Server-IP: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 6514 ein.
   • Einrichtung: Wählen Sie einen Syslog-Standardwert aus (z. B. LOG_USER), um das Feld „Priorität“ (PRI) zu berechnen. Mögliche Werte sind LOG_USER oder LOG_LOCAL0 bis LOG_LOCAL7.
   • Nachrichtenformat: Wählen Sie IETF aus.

7. Klicken Sie auf Speichern, um die Konfiguration des Syslog-Empfängers zu speichern.

   Hinweis: Datensicherheit unterstützt jeweils nur einen Syslog-Empfänger. Wenn Sie bereits einen Syslog-Empfänger konfiguriert haben, müssen Sie ihn entfernen, bevor Sie einen neuen hinzufügen können. TCP ist als zuverlässiger Transport erforderlich. Das IETF-Nachrichtenformat wird für TCP- und TLS-Verbindungen empfohlen.

Syslog-Weiterleitung prüfen

Nachdem Sie die Syslog-Empfängerkonfiguration gespeichert haben, leitet Datensicherheit die folgenden Logtypen an den Bindplane-Agent weiter:

• Vorfallslogbuch
• Protokoll zu Richtlinienverstößen
• Protokoll zur Problembehebung
• Aktivitätsmonitoring-Log
• Audit-Log für Administratoren

• Log für Verhaltensbedrohungen

  Hinweis: Protokolle werden im CSV-Format (kommagetrennte Werte) weitergeleitet. Es kann einige Minuten dauern, bis Logs nach der Konfiguration in Google SecOps angezeigt werden.

Weitere Informationen finden Sie unter Syslog-Monitoring für Datensicherheit konfigurieren und Syslog-Integration für Datensicherheit.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Captive_Portal_label	additional.fields	Zusammengeführt
ConfigVersion_label	additional.fields	Zusammengeführt
InboundInterface_label	additional.fields	Zusammengeführt
LogSetting_label	additional.fields	Zusammengeführt
OutboundInterface_label	additional.fields	Zusammengeführt
ProfileToken_label	additional.fields	Zusammengeführt
SessionEndReason_label	additional.fields	Zusammengeführt
SessionStartTime_label	additional.fields	Zusammengeführt
SubType_label	additional.fields	Zusammengeführt
Subtype_label	additional.fields	Zusammengeführt
Tunnel_label	additional.fields	Zusammengeführt
URLCategory_label	additional.fields	Zusammengeführt
action_label	additional.fields	Zusammengeführt
application_label	additional.fields	Zusammengeführt
application_risk_label	additional.fields	Zusammengeführt
application_technology	additional.fields	Zusammengeführt
auth_method	additional.fields	Zusammengeführt
bytes_label	additional.fields	Zusammengeführt
connection_error	additional.fields	Zusammengeführt
connection_error_id	additional.fields	Zusammengeführt
content_version	additional.fields	Zusammengeführt
count_of_repeats	additional.fields	Zusammengeführt
device_sn	additional.fields	Zusammengeführt
direction_of_attack	additional.fields	Zusammengeführt
event_id_value	additional.fields	Zusammengeführt
file_name	additional.fields	Zusammengeführt
http2_connection	additional.fields	Zusammengeführt
imsi	additional.fields	Zusammengeführt
inbound_interface	additional.fields	Zusammengeführt
log_setting	additional.fields	Zusammengeführt
log_subtype	additional.fields	Zusammengeführt
logtype	additional.fields	Zusammengeführt
message	additional.fields	Zugeordnete Werte (insgesamt 12, z. B. LEEF: → application_risk_label, LEEF: → bytes_label, …
outbound_interface	additional.fields	Zusammengeführt
packet_id	additional.fields	Zusammengeführt
parent_session_id	additional.fields	Zusammengeführt
partial_hash	additional.fields	Zusammengeführt
repeat_count	additional.fields	Zusammengeführt
sequence_no	additional.fields	Zusammengeführt
session_id	additional.fields	Zusammengeführt
subtype	additional.fields	Zusammengeführt
time_generated_high_resolution	additional.fields	Zusammengeführt
totalPackets_label	additional.fields	Zusammengeführt
tunnel	additional.fields	Zusammengeführt
url_category	additional.fields	Zusammengeführt
urlcategorylist	additional.fields	Zusammengeführt
virtual_location	additional.fields	Zusammengeführt
virtual_system	additional.fields	Zusammengeführt
virtual_system_id	additional.fields	Zusammengeführt
vs_label	additional.fields	Zusammengeführt
column3	extensions.auth.type	Zugeordnet: USERID → PHYSICAL
column4	extensions.auth.type	Zugeordnet: login → PHYSICAL
column10	intermediary.hostname	Direkt zugeordnet
column16	intermediary.hostname	Direkt zugeordnet
event_data.EventDescription	metadata.description	Direkt zugeordnet
hostname	metadata.description	Direkt zugeordnet
msg.policyName	metadata.description	Direkt zugeordnet
policyName	metadata.description	Direkt zugeordnet
TimeReceived	metadata.event_timestamp	Als ISO8601 geparst
event_data.EventTime	metadata.event_timestamp	Als yyyy-MM-ddTHH:mm:ss.SSSSSSZ geparst
event_data.TimeGenerated	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_type	metadata.event_type	Direkt zugeordnet
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
message	metadata.event_type	Zugeordnet: LEEF: → GENERIC_EVENT
ActionSource	metadata.product_event_type	Direkt zugeordnet
LogType	metadata.product_event_type	Direkt zugeordnet
SubType	metadata.product_event_type	Direkt zugeordnet
Subtype	metadata.product_event_type	Direkt zugeordnet
column3	metadata.product_event_type	Direkt zugeordnet
event_data.EventName	metadata.product_event_type	Direkt zugeordnet
msg.reason	metadata.product_event_type	Direkt zugeordnet
reason	metadata.product_event_type	Direkt zugeordnet
SequenceNo	metadata.product_log_id	Direkt zugeordnet
alertId	metadata.product_log_id	Direkt zugeordnet
msg.alertId	metadata.product_log_id	Direkt zugeordnet
message	metadata.product_name	Zugeordnet: LEEF: → CASB
column5	metadata.product_version	Direkt zugeordnet
device_version	metadata.product_version	Direkt zugeordnet
event_data.GlobalProtectClientVersion	metadata.product_version	Direkt zugeordnet
callbackUrl	metadata.url_back_to_product	Direkt zugeordnet
msg.callbackUrl	metadata.url_back_to_product	Direkt zugeordnet
VendorName	metadata.vendor_name	Direkt zugeordnet
message	metadata.vendor_name	Zugeordnet: LEEF: → Palo Alto Networks
column3	network.application_protocol	Zugeordnet: THREAT → TCP
has_principal	network.application_protocol	Zugeordnet: true → TCP
proto	network.application_protocol	Direkt zugeordnet
Protocol	network.ip_protocol	Direkt zugeordnet
column27	network.ip_protocol	Zugeordnet: tcp → TCP
column3	network.ip_protocol	Zugeordnet: TRAFFIC → TCP, THREAT → TCP
event_data.Protocol	network.ip_protocol	Direkt zugeordnet
proto	network.ip_protocol	Direkt zugeordnet
message	network.received_bytes	Zugeordnet: LEEF: → uinteger
srcBytes	network.received_bytes	Direkt zugeordnet
srcPackets	network.received_packets	Direkt zugeordnet
dstBytes	network.sent_bytes	Direkt zugeordnet
message	network.sent_bytes	Zugeordnet: LEEF: → uinteger
dstPackets	network.sent_packets	Direkt zugeordnet
SessionDuration	network.session_duration.seconds	Umbenannt/zugeordnet
SessionID	network.session_id	Direkt zugeordnet
column21	network.session_id	Wird zugeordnet, wenn column3 == THREAT
event_data.SessionID	network.session_id	Direkt zugeordnet
SourceUserDomain	principal.administrative_domain	Direkt zugeordnet
DeviceSN	principal.asset.asset_id	Direkt zugeordnet
DeviceName	principal.asset.hostname	Direkt zugeordnet
event_data.DeviceName	principal.asset.hostname	Direkt zugeordnet
SourceAddress	principal.asset.ip	Zusammengeführt
column3	principal.asset.ip	Zugeordnet: USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4	principal.asset.ip	Zusammengeführt
event_data.SourceAddress	principal.asset.ip	Zusammengeführt
ip	principal.asset.ip	Zusammengeführt
column3	principal.asset.nat_ip	Zugeordnet: TRAFFIC → ip, THREAT → ip
ip	principal.asset.nat_ip	Zusammengeführt
FileType	principal.file.mime_type	Direkt zugeordnet
FileName	principal.file.names	Zusammengeführt
DeviceName	principal.hostname	Direkt zugeordnet
event_data.DeviceName	principal.hostname	Direkt zugeordnet
host	principal.hostname	Direkt zugeordnet
SourceAddress	principal.ip	Zusammengeführt
column3	principal.ip	Zugeordnet: USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4	principal.ip	Zusammengeführt
event_data.SourceAddress	principal.ip	Zusammengeführt
ip	principal.ip	Zusammengeführt
message	principal.ip	Zugeordnet: LEEF: → ip, LEEF: → src
src	principal.ip	Zusammengeführt
SourceLocation	principal.location.country_or_region	Direkt zugeordnet
column35	principal.location.country_or_region	Direkt zugeordnet
event_data.SourceRegion	principal.location.country_or_region	Direkt zugeordnet
FromZone	principal.location.name	Direkt zugeordnet
event_data.FromZone	principal.location.name	Direkt zugeordnet
event_data.HostID	principal.mac	Zusammengeführt
NATSource	principal.nat_ip	Zusammengeführt
column3	principal.nat_ip	Zugeordnet: TRAFFIC → ip, THREAT → ip
event_data.NATSource	principal.nat_ip	Zusammengeführt
ip	principal.nat_ip	Zusammengeführt
NATSourcePort	principal.nat_port	Direkt zugeordnet
column25	principal.nat_port	Direkt zugeordnet
event_data.NATSourcePort	principal.nat_port	Direkt zugeordnet
EndpointOSType	principal.platform	Direkt zugeordnet
event_data.EndpointOSVersion	principal.platform_version	Direkt zugeordnet
SourcePort	principal.port	Direkt zugeordnet
column13	principal.port	Direkt zugeordnet
column23	principal.port	Direkt zugeordnet
event_data.SourcePort	principal.port	Direkt zugeordnet
srcPort	principal.port	Direkt zugeordnet
application_Subcategory	principal.resource.attribute.labels	Zusammengeführt
application_category	principal.resource.attribute.labels	Zusammengeführt
cloudhostname	principal.resource.attribute.labels	Zusammengeführt
cortexdatalaketenantid	principal.resource.attribute.labels	Zusammengeführt
flowtype	principal.resource.attribute.labels	Zusammengeführt
inboundinterfacedetailstype	principal.resource.attribute.labels	Zusammengeführt
log_source_id	principal.resource.attribute.labels	Zusammengeführt
log_source_name	principal.resource.attribute.labels	Zusammengeführt
log_type	principal.resource.attribute.labels	Zusammengeführt
logsource	principal.resource.attribute.labels	Zusammengeführt
outboundinterfacedetailstype	principal.resource.attribute.labels	Zusammengeführt
panorama_sn	principal.resource.attribute.labels	Zusammengeführt
platform_type	principal.resource.attribute.labels	Zusammengeführt
source_label	principal.resource.attribute.labels	Zusammengeführt
source_location	principal.resource.attribute.labels	Zusammengeführt
column4	principal.resource.type	Direkt zugeordnet
column2	principal.user.product_object_id	Direkt zugeordnet
SourceUser	principal.user.userid	Direkt zugeordnet
SourceUserName	principal.user.userid	Direkt zugeordnet
column12	principal.user.userid	Direkt zugeordnet
usrName	principal.user.userid	Direkt zugeordnet
message	security_result	Zugeordnet: LEEF: → security_result
sec_result	security_result	Zusammengeführt
action	security_result.action	Zusammengeführt
action_value	security_result.action_details	Direkt zugeordnet
cat	security_result.category_details	Zusammengeführt
column3	security_result.category_details	Zugeordnet: THREAT → column94, THREAT → column97, THREAT → column98
column94	security_result.category_details	Zusammengeführt
column97	security_result.category_details	Zusammengeführt
column98	security_result.category_details	Zusammengeführt
message	security_result.category_details	Zugeordnet: LEEF: → cat
msg.policyDescription	security_result.description	Direkt zugeordnet
policyDescription	security_result.description	Direkt zugeordnet
DGHierarchyLevel1_label	security_result.detection_fields	Zusammengeführt
DGHierarchyLevel2_label	security_result.detection_fields	Zusammengeführt
DGHierarchyLevel3_label	security_result.detection_fields	Zusammengeführt
DGHierarchyLevel4_label	security_result.detection_fields	Zusammengeführt
action_label	security_result.detection_fields	Zusammengeführt
alert_status	security_result.detection_fields	Zusammengeführt
eventstatus_label	security_result.detection_fields	Zusammengeführt
policy_id	security_result.detection_fields	Zusammengeführt
policy_recommendation	security_result.detection_fields	Zusammengeführt
policy_type	security_result.detection_fields	Zusammengeführt
portal_label	security_result.detection_fields	Zusammengeführt
stage_label	security_result.detection_fields	Zusammengeführt
threat_category	security_result.detection_fields	Zusammengeführt
RuleUUID	security_result.rule_id	Direkt zugeordnet
alertRuleId	security_result.rule_id	Direkt zugeordnet
column61	security_result.rule_id	Direkt zugeordnet
event_data.RuleUUID	security_result.rule_id	Direkt zugeordnet
msg.alertRuleId	security_result.rule_id	Direkt zugeordnet
Rule	security_result.rule_name	Direkt zugeordnet
alertRuleName	security_result.rule_name	Direkt zugeordnet
column11	security_result.rule_name	Direkt zugeordnet
event_data.Rule	security_result.rule_name	Direkt zugeordnet
msg.alertRuleName	security_result.rule_name	Direkt zugeordnet
Severity	security_result.severity	Direkt zugeordnet
column3	security_result.severity	Zugeordnet: THREAT → INFORMATIONAL
column31	security_result.severity	Zugeordnet: Informational → INFORMATIONAL
msg.severity	security_result.severity	Direkt zugeordnet
severity	security_result.severity	Direkt zugeordnet
ThreatNameFirewall	security_result.threat_name	Direkt zugeordnet
Application	target.application	Direkt zugeordnet
TunneledApplication	target.application	Direkt zugeordnet
column13	target.asset.hostname	Direkt zugeordnet
DestinationAddress	target.asset.ip	Zusammengeführt
column3	target.asset.ip	Zugeordnet: TRAFFIC → ip, THREAT → ip
dest_ip	target.asset.ip	Zusammengeführt
event_data.DestinationAddress	target.asset.ip	Zusammengeführt
ip	target.asset.ip	Zusammengeführt
column3	target.asset.nat_ip	Zugeordnet: TRAFFIC → ip, THREAT → ip
ip	target.asset.nat_ip	Zusammengeführt
accountId	target.hostname	Direkt zugeordnet
column13	target.hostname	Direkt zugeordnet
msg.accountId	target.hostname	Direkt zugeordnet
DestinationAddress	target.ip	Zusammengeführt
column3	target.ip	Zugeordnet: TRAFFIC → ip, THREAT → ip
dest_ip	target.ip	Zusammengeführt
dst	target.ip	Zusammengeführt
event_data.DestinationAddress	target.ip	Zusammengeführt
ip	target.ip	Zusammengeführt
message	target.ip	Zugeordnet: LEEF: → dst
network_ip	target.ip	Zusammengeführt
DestinationLocation	target.location.country_or_region	Direkt zugeordnet
Location	target.location.country_or_region	Direkt zugeordnet
event_data.DestinationLocation	target.location.country_or_region	Direkt zugeordnet
msg.resourceRegionId	target.location.country_or_region	Direkt zugeordnet
resourceRegionId	target.location.country_or_region	Direkt zugeordnet
ToZone	target.location.name	Direkt zugeordnet
event_data.ToZone	target.location.name	Direkt zugeordnet
network_mac	target.mac	Zusammengeführt
NATDestination	target.nat_ip	Zusammengeführt
column3	target.nat_ip	Zugeordnet: TRAFFIC → ip, THREAT → ip
event_data.NATDestination	target.nat_ip	Zusammengeführt
ip	target.nat_ip	Zusammengeführt
NATDestinationPort	target.nat_port	Direkt zugeordnet
column26	target.nat_port	Direkt zugeordnet
event_data.NATDestinationPort	target.nat_port	Direkt zugeordnet
DestinationPort	target.port	Direkt zugeordnet
column24	target.port	Direkt zugeordnet
dstPort	target.port	Direkt zugeordnet
event_data.DestinationPort	target.port	Direkt zugeordnet
cloudType	target.resource.attribute.cloud.environment	Zugeordnet: gcp → GOOGLE_CLOUD_PLATFORM, aws → AMAZON_WEB_SERVICES, azure → `MICROSOFT...
accountName	target.resource.attribute.cloud.project.id	Direkt zugeordnet
msg.accountName	target.resource.attribute.cloud.project.id	Direkt zugeordnet
networkInterfaceId	target.resource.attribute.labels	Zusammengeführt
privateDnsName	target.resource.attribute.labels	Zusammengeführt
publicDnsName	target.resource.attribute.labels	Zusammengeführt
resource_type_label	target.resource.attribute.labels	Zusammengeführt
subnetId	target.resource.attribute.labels	Zusammengeführt
tag_label	target.resource.attribute.labels	Zusammengeführt
vpcId	target.resource.attribute.labels	Zusammengeführt
msg.resourceName	target.resource.name	Direkt zugeordnet
resourceName	target.resource.name	Direkt zugeordnet
msg.resourceId	target.resource.product_object_id	Direkt zugeordnet
resourceId	target.resource.product_object_id	Direkt zugeordnet
URL	target.url	Direkt zugeordnet
URLDomain	target.url	Direkt zugeordnet
column29	target.url	Direkt zugeordnet
resource.data.securityGroups.0.groupId	target.user.group_identifiers	Zusammengeführt
resource.data.securityGroups.0.groupName	target.user.group_identifiers	Zusammengeführt
DestinationUser	target.user.user_display_name	Direkt zugeordnet
DestinationUser	target.user.userid	Direkt zugeordnet
column9	target.user.userid	Direkt zugeordnet
–	metadata.event_type	Konstante: USER_RESOURCE_ACCESS
–	metadata.product_name	Konstante: CASB
–	metadata.vendor_name	Konstante: Palo Alto Networks
–	network.application_protocol	Konstante: TCP
–	security_result.severity	Konstante: INFORMATIONAL
–	target.resource.attribute.cloud.environment	Konstante: GOOGLE_CLOUD_PLATFORM
column6	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column7	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column9	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column10	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column13	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column21	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column24	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column27	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column31	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column32	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column33	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column34	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column35	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column36	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column37	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column38	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column39	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column41	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column42	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column43	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column44	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
column3	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
column8	event.idm.read_only_udm.metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
column5	event.idm.read_only_udm.metadata.product_version	Aus Änderungsprotokoll zugeordnet
column30	event.idm.read_only_udm.network.session_duration.seconds	Aus Änderungsprotokoll zugeordnet
column11	event.idm.read_only_udm.network.tls.next_protocol	Aus Änderungsprotokoll zugeordnet
column46	event.idm.read_only_udm.observer.hostname und event.idm.read_only_udm.observer.asset.hostname	Aus Änderungsprotokoll zugeordnet
column45	event.idm.read_only_udm.observer.resource.name	Aus Änderungsprotokoll zugeordnet
column47	event.idm.read_only_udm.observer.resource.product_object_id	Aus Änderungsprotokoll zugeordnet
column19	event.idm.read_only_udm.principal.asset.asset_id	Aus Änderungsprotokoll zugeordnet
column20	event.idm.read_only_udm.principal.asset.hardware.serial_number	Aus Änderungsprotokoll zugeordnet
column14	event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet
column15	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
column16	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
column17	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
column18	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
column13	event.idm.read_only_udm.principal.location.country_or_region	Aus Änderungsprotokoll zugeordnet
column22	event.idm.read_only_udm.principal.platform	Aus Änderungsprotokoll zugeordnet
column23	event.idm.read_only_udm.principal.platform_version	Aus Änderungsprotokoll zugeordnet
column4	event.idm.read_only_udm.principal.resource.name	Aus Änderungsprotokoll zugeordnet
column2	event.idm.read_only_udm.principal.user.product_object_id	Aus Änderungsprotokoll zugeordnet
column12	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
column25	event.idm.read_only_udm.security_result.description	Aus Änderungsprotokoll zugeordnet
column26	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
column40	event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname	Aus Änderungsprotokoll zugeordnet
column29	event.idm.read_only_udm.target.location.country_or_region	Aus Änderungsprotokoll zugeordnet
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
VirtualSystemID	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ApplicationTechnology	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
LogType	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
Subtype	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
Subtype	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
action_value	event.idm.read_only_udm.security_result.action_details	Aus Änderungsprotokoll zugeordnet
ThreatNameFirewall	event.idm.read_only_udm.security_result.threat_name	Aus Änderungsprotokoll zugeordnet
SessionID	event.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
DeviceName	event.idm.read_only_udm.principal.hostname	Aus Änderungsprotokoll zugeordnet
DeviceName	event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet
Location	event.idm.read_only_udm.target.location.country_or_region	Aus Änderungsprotokoll zugeordnet
TunneledApplication	event.idm.read_only_udm.target.application	Aus Änderungsprotokoll zugeordnet
URLDomain	event.idm.read_only_udm.target.url	Aus Änderungsprotokoll zugeordnet
SourceUserName	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
action	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
column35	event.idm.read_only_udm.principal.location.country_or_region	Aus Änderungsprotokoll zugeordnet
column61	event.idm.read_only_udm.security_result.rule_id	Aus Änderungsprotokoll zugeordnet
column94	event.idm.read_only_udm.security_result.category_details	Aus Änderungsprotokoll zugeordnet
column97	event.idm.read_only_udm.security_result.category_details	Aus Änderungsprotokoll zugeordnet
column98	event.idm.read_only_udm.security_result.category_details	Aus Änderungsprotokoll zugeordnet
column21	event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
ThreatCategory	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
SubType	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
FileName	event.idm.read_only_udm.principal.file.names	Aus Änderungsprotokoll zugeordnet
FileType	event.idm.read_only_udm.principal.file.mime_type	Aus Änderungsprotokoll zugeordnet
LogType	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
HTTP2Connection	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
LogSetting	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
InboundInterface	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
OutboundInterface	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
Application	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
VirtualLocation	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
CaptivePortal	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
URLCategoryList	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
SessionID	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
RepeatCount	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ConfigVersion	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
URLCategory	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
DirectionOfAttack	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
SequenceNo	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
PacketID	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
DestinationAddress	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
VirtualSystemName	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
IMSI	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ParentSessionID	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
Tunnel	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ApplicationRisk	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ContentVersion	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
TimeGeneratedHighResolution	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ApplicationCategory	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
ApplicationSubcategory	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
LogType	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
SourceLocation	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
CloudHostname	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
CortexDataLakeTenantID	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
FlowType	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
InboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
LogSource	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
OutboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
PanoramaSN	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
PlatformType	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
Action	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
DGHierarchyLevel1	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
DGHierarchyLevel2	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
DGHierarchyLevel3	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
DGHierarchyLevel4	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
Severity	event.idm.read_only_udm.security_result.severity	Aus Änderungsprotokoll zugeordnet
RuleUUID	event.idm.read_only_udm.security_result.rule_id	Aus Änderungsprotokoll zugeordnet
Rule	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
Protocol	event.idm.read_only_udm.network.ip_protocol	Aus Änderungsprotokoll zugeordnet
ToZone	event.idm.read_only_udm.target.location.name	Aus Änderungsprotokoll zugeordnet
SourceAddress	event.idm.read_only_udm.principal.ip	Aus Änderungsprotokoll zugeordnet
SourceAddress	event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
DestinationAddress	event.idm.read_only_udm.target.ip	Aus Änderungsprotokoll zugeordnet
DestinationAddress	event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
NATSource	event.idm.read_only_udm.principal.nat_ip	Aus Änderungsprotokoll zugeordnet
NATDestination	event.idm.read_only_udm.target.nat_ip	Aus Änderungsprotokoll zugeordnet
SourceUser	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
DestinationUser	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
SourcePort	event.idm.read_only_udm.principal.port	Aus Änderungsprotokoll zugeordnet
DestinationPort	event.idm.read_only_udm.target.port	Aus Änderungsprotokoll zugeordnet
NATSourcePort	event.idm.read_only_udm.principal.nat_port	Aus Änderungsprotokoll zugeordnet
NATDestinationPort	event.idm.read_only_udm.target.nat_port	Aus Änderungsprotokoll zugeordnet
URL	event.idm.read_only_udm.target.url	Aus Änderungsprotokoll zugeordnet
DeviceSN	event.idm.read_only_udm.principal.asset.asset_id	Aus Änderungsprotokoll zugeordnet
FromZone	event.idm.read_only_udm.principal.location.name	Aus Änderungsprotokoll zugeordnet
DestinationLocation	event.idm.read_only_udm.target.location.country_or_region	Aus Änderungsprotokoll zugeordnet
X-Forwarded-For	event.idm.read_only_udm.principal.ip	Aus Änderungsprotokoll zugeordnet
SourceUserDomain	event.idm.read_only_udm.principal.administrative_domain	Aus Änderungsprotokoll zugeordnet
VendorName	event.idm.read_only_udm.metadata.vendor_name	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten