Collecter les journaux Palo Alto Prisma Access CASB

Compatible avec :

Ce document explique comment ingérer des journaux Palo Alto Prisma Access CASB dans Google Security Operations à l'aide de l'agent Bindplane.

Palo Alto Networks SaaS Security (également appelé "CASB de nouvelle génération") est un agent de sécurité des accès au cloud (CASB) fourni dans le cloud et intégré à Prisma Access. Il offre une visibilité et un contrôle sur les applications SaaS autorisées et non autorisées, détecte les cas de non-respect des règles relatives aux données, surveille l'activité des utilisateurs et corrige les risques dans les services cloud. La sécurité des données, qui fait partie de la sécurité SaaS, génère des journaux pour les incidents, les non-respects des règles, les activités de correction, la surveillance des activités, les événements d'audit des administrateurs et les menaces comportementales.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et le service Palo Alto Networks SaaS Security
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Licence Palo Alto Networks SaaS Security (sécurité des données), CASB-X ou CASB-PA
  • Accès administrateur à Strata Cloud Manager avec les autorisations nécessaires pour configurer les paramètres de sécurité SaaS
  • Un certificat TLS valide sur le serveur Syslog (la sécurité des données nécessite le protocole TLS pour les connexions Syslog)

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir un ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation de Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  tcplog:
    listen_address: "0.0.0.0:6514"
    tls:
      cert_file: '/opt/observiq-otel-collector/server.crt'
      key_file: '/opt/observiq-otel-collector/server.key'

exporters:
  chronicle/pan_casb:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: PAN_CASB
    raw_log_field: body
    ingestion_labels:
      vendor: palo_alto_networks
      product: saas_security_casb

service:
  pipelines:
    logs/pan_casb_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/pan_casb

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : définissez la valeur sur 0.0.0.0:6514 pour écouter sur toutes les interfaces sur le port 6514 (port syslog-over-TLS standard).
    • cert_file : chemin d'accès au fichier de certificat TLS pour l'agent Bindplane.
    • key_file : chemin d'accès au fichier de clé privée TLS pour l'agent BindPlane.

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client Google SecOps.
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
    • log_type : doit être exactement PAN_CASB
    • ingestion_labels : libellés facultatifs pour catégoriser les journaux

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/pan_casb:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: PAN_CASB
    raw_log_field: body
    ingestion_labels:
      vendor: palo_alto_networks
      product: saas_security_casb

Enregistrez le fichier de configuration.

Une fois les modifications effectuées, enregistrez le fichier :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Linux

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

Windows

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog de Palo Alto Networks SaaS Security

Pour transférer les journaux SaaS Security Data Security vers l'agent BindPlane, configurez un récepteur syslog dans Strata Cloud Manager.

Préparer un certificat TLS sur l'hôte de l'agent BindPlane

La sécurité des données nécessite des connexions Syslog chiffrées avec TLS. Avant de configurer le récepteur syslog, préparez le certificat TLS sur l'hôte de l'agent BindPlane :

  1. Signez vous-même ou obtenez un certificat TLS autosigné pour l'hôte de l'agent Bindplane.
  2. Placez les fichiers de certificat et de clé privée sur l'hôte de l'agent BindPlane (par exemple, /opt/observiq-otel-collector/server.crt et /opt/observiq-otel-collector/server.key).
  3. Assurez-vous que la configuration de l'agent Bindplane fait référence à ces fichiers dans la section tls du récepteur.

Configurer le récepteur syslog dans Strata Cloud Manager

  1. Connectez-vous à Strata Cloud Manager.
  2. Accédez à Configuration> Sécurité SaaS> Paramètres> Annuaire et services externes> Services externes.
  3. Cliquez sur Ajouter un client Syslog/API.
  4. Sélectionnez Récepteur Syslog pour créer un profil de serveur Syslog.
  5. Dans le champ Nom, saisissez un nom descriptif pour le profil (par exemple, Chronicle-Bindplane).
  6. Fournissez les informations de configuration suivantes :
    • Adresse IP du serveur : saisissez l'adresse IP de l'hôte de l'agent BindPlane.
    • Port : saisissez 6514.
    • Fonction : sélectionnez une valeur standard syslog (par exemple, LOG_USER) pour calculer le champ de priorité (PRI). Les valeurs peuvent être LOG_USER ou LOG_LOCAL0 à LOG_LOCAL7.
    • Format du message : sélectionnez IETF.

  7. Cliquez sur Enregistrer pour enregistrer la configuration du récepteur syslog.

Vérifier le transfert syslog

Après avoir enregistré la configuration du récepteur Syslog, Data Security commence à transférer les types de journaux suivants vers l'agent Bindplane :

  • Journal des incidents
  • Journal des cas de non-respect des règles
  • Journal de correction
  • Journal de surveillance de l'activité
  • Journal d'audit de la console d'administration

  • Journal des menaces comportementales

Pour en savoir plus, consultez Configurer la surveillance Syslog dans Data Security et Intégration Syslog dans Data Security.

Table de mappage UDM

Champ du journal Mappage UDM Logique
Captive_Portal_label additional.fields Fusionné
ConfigVersion_label additional.fields Fusionné
InboundInterface_label additional.fields Fusionné
LogSetting_label additional.fields Fusionné
OutboundInterface_label additional.fields Fusionné
ProfileToken_label additional.fields Fusionné
SessionEndReason_label additional.fields Fusionné
SessionStartTime_label additional.fields Fusionné
SubType_label additional.fields Fusionné
Subtype_label additional.fields Fusionné
Tunnel_label additional.fields Fusionné
URLCategory_label additional.fields Fusionné
action_label additional.fields Fusionné
application_label additional.fields Fusionné
application_risk_label additional.fields Fusionné
application_technology additional.fields Fusionné
auth_method additional.fields Fusionné
bytes_label additional.fields Fusionné
connection_error additional.fields Fusionné
connection_error_id additional.fields Fusionné
content_version additional.fields Fusionné
count_of_repeats additional.fields Fusionné
device_sn additional.fields Fusionné
direction_of_attack additional.fields Fusionné
event_id_value additional.fields Fusionné
file_name additional.fields Fusionné
http2_connection additional.fields Fusionné
imsi additional.fields Fusionné
inbound_interface additional.fields Fusionné
log_setting additional.fields Fusionné
log_subtype additional.fields Fusionné
logtype additional.fields Fusionné
message additional.fields Valeurs mappées (12 au total, par exemple LEEF: → application_risk_label, LEEF: → bytes_label, etc.)
outbound_interface additional.fields Fusionné
packet_id additional.fields Fusionné
parent_session_id additional.fields Fusionné
partial_hash additional.fields Fusionné
repeat_count additional.fields Fusionné
sequence_no additional.fields Fusionné
session_id additional.fields Fusionné
subtype additional.fields Fusionné
time_generated_high_resolution additional.fields Fusionné
totalPackets_label additional.fields Fusionné
tunnel additional.fields Fusionné
url_category additional.fields Fusionné
urlcategorylist additional.fields Fusionné
virtual_location additional.fields Fusionné
virtual_system additional.fields Fusionné
virtual_system_id additional.fields Fusionné
vs_label additional.fields Fusionné
column3 extensions.auth.type Mappé : USERID → PHYSICAL
column4 extensions.auth.type Mappé : login → PHYSICAL
column10 intermediary.hostname Mappé directement
column16 intermediary.hostname Mappé directement
event_data.EventDescription metadata.description Mappé directement
hostname metadata.description Mappé directement
msg.policyName metadata.description Mappé directement
policyName metadata.description Mappage direct
TimeReceived metadata.event_timestamp Analysé en tant que ISO8601
event_data.EventTime metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_data.TimeGenerated metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_type metadata.event_type Mappé directement
has_principal metadata.event_type Mapped: true → NETWORK_CONNECTION, true → STATUS_UPDATE
message metadata.event_type Mappé : LEEF: → GENERIC_EVENT
ActionSource metadata.product_event_type Mappage direct
LogType metadata.product_event_type Mappé directement
SubType metadata.product_event_type Mappé directement
Subtype metadata.product_event_type Mappé directement
column3 metadata.product_event_type Mappé directement
event_data.EventName metadata.product_event_type Mappé directement
msg.reason metadata.product_event_type Mappé directement
reason metadata.product_event_type Mappé directement
SequenceNo metadata.product_log_id Mappé directement
alertId metadata.product_log_id Mappé directement
msg.alertId metadata.product_log_id Mappage direct
message metadata.product_name Mappé : LEEF: → CASB
column5 metadata.product_version Mappage direct
device_version metadata.product_version Mappé directement
event_data.GlobalProtectClientVersion metadata.product_version Mappé directement
callbackUrl metadata.url_back_to_product Mappé directement
msg.callbackUrl metadata.url_back_to_product Mappé directement
VendorName metadata.vendor_name Mappage direct
message metadata.vendor_name Mappé : LEEF: → Palo Alto Networks
column3 network.application_protocol Mappé : THREAT → TCP
has_principal network.application_protocol Mappé : true → TCP
proto network.application_protocol Mappé directement
Protocol network.ip_protocol Mappage direct
column27 network.ip_protocol Mappé : tcp → TCP
column3 network.ip_protocol Mapped: TRAFFIC → TCP, THREAT → TCP
event_data.Protocol network.ip_protocol Mappé directement
proto network.ip_protocol Mappage direct
message network.received_bytes Mappé : LEEF: → uinteger
srcBytes network.received_bytes Mappé directement
srcPackets network.received_packets Mappé directement
dstBytes network.sent_bytes Mappage direct
message network.sent_bytes Mappé : LEEF: → uinteger
dstPackets network.sent_packets Mappage direct
SessionDuration network.session_duration.seconds Renommé/Mappé
SessionID network.session_id Mappage direct
column21 network.session_id Mappé lorsque column3 == THREAT
event_data.SessionID network.session_id Mappé directement
SourceUserDomain principal.administrative_domain Mappé directement
DeviceSN principal.asset.asset_id Mappé directement
DeviceName principal.asset.hostname Mappé directement
event_data.DeviceName principal.asset.hostname Mappé directement
SourceAddress principal.asset.ip Fusionné
column3 principal.asset.ip Mappé : USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4 principal.asset.ip Fusionné
event_data.SourceAddress principal.asset.ip Fusionné
ip principal.asset.ip Fusionné
column3 principal.asset.nat_ip Mappé : TRAFFIC → ip, THREAT → ip
ip principal.asset.nat_ip Fusionné
FileType principal.file.mime_type Mappage direct
FileName principal.file.names Fusionné
DeviceName principal.hostname Mappage direct
event_data.DeviceName principal.hostname Mappé directement
host principal.hostname Mappé directement
SourceAddress principal.ip Fusionné
column3 principal.ip Mappé : USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4 principal.ip Fusionné
event_data.SourceAddress principal.ip Fusionné
ip principal.ip Fusionné
message principal.ip Mappé : LEEF: → ip, LEEF: → src
src principal.ip Fusionné
SourceLocation principal.location.country_or_region Mappage direct
column35 principal.location.country_or_region Mappé directement
event_data.SourceRegion principal.location.country_or_region Mappé directement
FromZone principal.location.name Mappé directement
event_data.FromZone principal.location.name Mappé directement
event_data.HostID principal.mac Fusionné
NATSource principal.nat_ip Fusionné
column3 principal.nat_ip Mappé : TRAFFIC → ip, THREAT → ip
event_data.NATSource principal.nat_ip Fusionné
ip principal.nat_ip Fusionné
NATSourcePort principal.nat_port Mappage direct
column25 principal.nat_port Mappé directement
event_data.NATSourcePort principal.nat_port Mappé directement
EndpointOSType principal.platform Mappé directement
event_data.EndpointOSVersion principal.platform_version Mappé directement
SourcePort principal.port Mappé directement
column13 principal.port Mappé directement
column23 principal.port Mappé directement
event_data.SourcePort principal.port Mappé directement
srcPort principal.port Mappé directement
application_Subcategory principal.resource.attribute.labels Fusionné
application_category principal.resource.attribute.labels Fusionné
cloudhostname principal.resource.attribute.labels Fusionné
cortexdatalaketenantid principal.resource.attribute.labels Fusionné
flowtype principal.resource.attribute.labels Fusionné
inboundinterfacedetailstype principal.resource.attribute.labels Fusionné
log_source_id principal.resource.attribute.labels Fusionné
log_source_name principal.resource.attribute.labels Fusionné
log_type principal.resource.attribute.labels Fusionné
logsource principal.resource.attribute.labels Fusionné
outboundinterfacedetailstype principal.resource.attribute.labels Fusionné
panorama_sn principal.resource.attribute.labels Fusionné
platform_type principal.resource.attribute.labels Fusionné
source_label principal.resource.attribute.labels Fusionné
source_location principal.resource.attribute.labels Fusionné
column4 principal.resource.type Mappage direct
column2 principal.user.product_object_id Mappé directement
SourceUser principal.user.userid Mappé directement
SourceUserName principal.user.userid Mappé directement
column12 principal.user.userid Mappé directement
usrName principal.user.userid Mappé directement
message security_result Mappé : LEEF: → security_result
sec_result security_result Fusionné
action security_result.action Fusionné
action_value security_result.action_details Mappage direct
cat security_result.category_details Fusionné
column3 security_result.category_details Mappé : THREAT → column94, THREAT → column97, THREAT → column98
column94 security_result.category_details Fusionné
column97 security_result.category_details Fusionné
column98 security_result.category_details Fusionné
message security_result.category_details Mappé : LEEF: → cat
msg.policyDescription security_result.description Mappage direct
policyDescription security_result.description Mappé directement
DGHierarchyLevel1_label security_result.detection_fields Fusionné
DGHierarchyLevel2_label security_result.detection_fields Fusionné
DGHierarchyLevel3_label security_result.detection_fields Fusionné
DGHierarchyLevel4_label security_result.detection_fields Fusionné
action_label security_result.detection_fields Fusionné
alert_status security_result.detection_fields Fusionné
eventstatus_label security_result.detection_fields Fusionné
policy_id security_result.detection_fields Fusionné
policy_recommendation security_result.detection_fields Fusionné
policy_type security_result.detection_fields Fusionné
portal_label security_result.detection_fields Fusionné
stage_label security_result.detection_fields Fusionné
threat_category security_result.detection_fields Fusionné
RuleUUID security_result.rule_id Mappage direct
alertRuleId security_result.rule_id Mappé directement
column61 security_result.rule_id Mappé directement
event_data.RuleUUID security_result.rule_id Mappé directement
msg.alertRuleId security_result.rule_id Mappé directement
Rule security_result.rule_name Mappé directement
alertRuleName security_result.rule_name Mappé directement
column11 security_result.rule_name Mappé directement
event_data.Rule security_result.rule_name Mappé directement
msg.alertRuleName security_result.rule_name Mappé directement
Severity security_result.severity Mappé directement
column3 security_result.severity Mappé : THREAT → INFORMATIONAL
column31 security_result.severity Mappé : Informational → INFORMATIONAL
msg.severity security_result.severity Mappé directement
severity security_result.severity Mappé directement
ThreatNameFirewall security_result.threat_name Mappé directement
Application target.application Mappé directement
TunneledApplication target.application Mappé directement
column13 target.asset.hostname Mappé directement
DestinationAddress target.asset.ip Fusionné
column3 target.asset.ip Mappé : TRAFFIC → ip, THREAT → ip
dest_ip target.asset.ip Fusionné
event_data.DestinationAddress target.asset.ip Fusionné
ip target.asset.ip Fusionné
column3 target.asset.nat_ip Mappé : TRAFFIC → ip, THREAT → ip
ip target.asset.nat_ip Fusionné
accountId target.hostname Mappage direct
column13 target.hostname Mappé directement
msg.accountId target.hostname Mappé directement
DestinationAddress target.ip Fusionné
column3 target.ip Mappé : TRAFFIC → ip, THREAT → ip
dest_ip target.ip Fusionné
dst target.ip Fusionné
event_data.DestinationAddress target.ip Fusionné
ip target.ip Fusionné
message target.ip Mappé : LEEF: → dst
network_ip target.ip Fusionné
DestinationLocation target.location.country_or_region Mappage direct
Location target.location.country_or_region Mappé directement
event_data.DestinationLocation target.location.country_or_region Mappé directement
msg.resourceRegionId target.location.country_or_region Mappé directement
resourceRegionId target.location.country_or_region Mappé directement
ToZone target.location.name Mappé directement
event_data.ToZone target.location.name Mappé directement
network_mac target.mac Fusionné
NATDestination target.nat_ip Fusionné
column3 target.nat_ip Mappé : TRAFFIC → ip, THREAT → ip
event_data.NATDestination target.nat_ip Fusionné
ip target.nat_ip Fusionné
NATDestinationPort target.nat_port Mappage direct
column26 target.nat_port Mappé directement
event_data.NATDestinationPort target.nat_port Mappé directement
DestinationPort target.port Mappé directement
column24 target.port Mappé directement
dstPort target.port Mappé directement
event_data.DestinationPort target.port Mappé directement
cloudType target.resource.attribute.cloud.environment Mappé : gcp → GOOGLE_CLOUD_PLATFORM, aws → AMAZON_WEB_SERVICES, azure → `MICROSOFT...
accountName target.resource.attribute.cloud.project.id Mappage direct
msg.accountName target.resource.attribute.cloud.project.id Mappé directement
networkInterfaceId target.resource.attribute.labels Fusionné
privateDnsName target.resource.attribute.labels Fusionné
publicDnsName target.resource.attribute.labels Fusionné
resource_type_label target.resource.attribute.labels Fusionné
subnetId target.resource.attribute.labels Fusionné
tag_label target.resource.attribute.labels Fusionné
vpcId target.resource.attribute.labels Fusionné
msg.resourceName target.resource.name Mappage direct
resourceName target.resource.name Mappé directement
msg.resourceId target.resource.product_object_id Mappé directement
resourceId target.resource.product_object_id Mappé directement
URL target.url Mappé directement
URLDomain target.url Mappé directement
column29 target.url Mappé directement
resource.data.securityGroups.0.groupId target.user.group_identifiers Fusionné
resource.data.securityGroups.0.groupName target.user.group_identifiers Fusionné
DestinationUser target.user.user_display_name Mappage direct
DestinationUser target.user.userid Mappé directement
column9 target.user.userid Mappage direct
N/A metadata.event_type Constante : USER_RESOURCE_ACCESS
N/A metadata.product_name Constante : CASB
N/A metadata.vendor_name Constante : Palo Alto Networks
N/A network.application_protocol Constante : TCP
N/A security_result.severity Constante : INFORMATIONAL
N/A target.resource.attribute.cloud.environment Constante : GOOGLE_CLOUD_PLATFORM
column6 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column7 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column9 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column10 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column13 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column21 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column24 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column27 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column31 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column32 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column33 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column34 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column35 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column36 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column37 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column38 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column39 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column41 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column42 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column43 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column44 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
column3 event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
column8 event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
column5 event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
column30 event.idm.read_only_udm.network.session_duration.seconds Mappé à partir du journal des modifications
column11 event.idm.read_only_udm.network.tls.next_protocol Mappé à partir du journal des modifications
column46 event.idm.read_only_udm.observer.hostname et event.idm.read_only_udm.observer.asset.hostname Mappé à partir du journal des modifications
column45 event.idm.read_only_udm.observer.resource.name Mappé à partir du journal des modifications
column47 event.idm.read_only_udm.observer.resource.product_object_id Mappé à partir du journal des modifications
column19 event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
column20 event.idm.read_only_udm.principal.asset.hardware.serial_number Mappé à partir du journal des modifications
column14 event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
column15 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column16 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column17 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column18 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
column13 event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
column22 event.idm.read_only_udm.principal.platform Mappé à partir du journal des modifications
column23 event.idm.read_only_udm.principal.platform_version Mappé à partir du journal des modifications
column4 event.idm.read_only_udm.principal.resource.name Mappé à partir du journal des modifications
column2 event.idm.read_only_udm.principal.user.product_object_id Mappé à partir du journal des modifications
column12 event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
column25 event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
column26 event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
column40 event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
column29 event.idm.read_only_udm.target.location.country_or_region Mappé à partir du journal des modifications
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
VirtualSystemID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ApplicationTechnology event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogType event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
Subtype event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
Subtype event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
action_value event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
ThreatNameFirewall event.idm.read_only_udm.security_result.threat_name Mappé à partir du journal des modifications
SessionID event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
DeviceName event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
DeviceName event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
Location event.idm.read_only_udm.target.location.country_or_region Mappé à partir du journal des modifications
TunneledApplication event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
URLDomain event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
SourceUserName event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
action event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
column35 event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
column61 event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
column94 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
column97 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
column98 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
column21 event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
ThreatCategory event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
SubType event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
FileName event.idm.read_only_udm.principal.file.names Mappé à partir du journal des modifications
FileType event.idm.read_only_udm.principal.file.mime_type Mappé à partir du journal des modifications
LogType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HTTP2Connection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogSetting event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
InboundInterface event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OutboundInterface event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Application event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VirtualLocation event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CaptivePortal event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
URLCategoryList event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SessionID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RepeatCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ConfigVersion event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
URLCategory event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DirectionOfAttack event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SequenceNo event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PacketID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DestinationAddress event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VirtualSystemName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IMSI event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ParentSessionID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Tunnel event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ApplicationRisk event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ContentVersion event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TimeGeneratedHighResolution event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ApplicationCategory event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
ApplicationSubcategory event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
LogType event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
SourceLocation event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
CloudHostname event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
CortexDataLakeTenantID event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
FlowType event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
InboundInterfaceDetailsType event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
LogSource event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
OutboundInterfaceDetailsType event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
PanoramaSN event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
PlatformType event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
Action event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DGHierarchyLevel1 event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DGHierarchyLevel2 event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DGHierarchyLevel3 event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DGHierarchyLevel4 event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Severity event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
RuleUUID event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
Rule event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
Protocol event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
ToZone event.idm.read_only_udm.target.location.name Mappé à partir du journal des modifications
SourceAddress event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
SourceAddress event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
DestinationAddress event.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
DestinationAddress event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
NATSource event.idm.read_only_udm.principal.nat_ip Mappé à partir du journal des modifications
NATDestination event.idm.read_only_udm.target.nat_ip Mappé à partir du journal des modifications
SourceUser event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
DestinationUser event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
SourcePort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
DestinationPort event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
NATSourcePort event.idm.read_only_udm.principal.nat_port Mappé à partir du journal des modifications
NATDestinationPort event.idm.read_only_udm.target.nat_port Mappé à partir du journal des modifications
URL event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
DeviceSN event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
FromZone event.idm.read_only_udm.principal.location.name Mappé à partir du journal des modifications
DestinationLocation event.idm.read_only_udm.target.location.country_or_region Mappé à partir du journal des modifications
X-Forwarded-For event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
SourceUserDomain event.idm.read_only_udm.principal.administrative_domain Mappé à partir du journal des modifications
VendorName event.idm.read_only_udm.metadata.vendor_name Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.