איסוף יומני CASB של Palo Alto Prisma Access

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Palo Alto Prisma Access CASB ב-Google Security Operations באמצעות סוכן Bindplane.

‫Palo Alto Networks SaaS Security (שנקרא גם Next-Generation CASB) הוא מתווך מבוסס-ענן לאבטחת גישה שמשולב עם Prisma Access. הוא מספק תצוגה ושליטה באפליקציות SaaS שאושרו ושלא אושרו, מזהה הפרות מדיניות נתונים, עוקב אחרי פעילות המשתמשים ומטפל בסיכונים בשירותי ענן. התכונה 'אבטחת נתונים', שהיא חלק מ'אבטחת SaaS', יוצרת יומנים של אירועים, הפרות מדיניות, פעולות לתיקון בעיות, מעקב אחר פעילות, אירועי ביקורת של אדמינים ואיומי התנהגות.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שירות SaaS Security של Palo Alto Networks
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• רישיון Palo Alto Networks SaaS Security (אבטחת מידע), רישיון CASB-X או רישיון CASB-PA
• גישת אדמין ל-Strata Cloud Manager עם הרשאות להגדרת הגדרות האבטחה של SaaS
• אישור TLS תקף בשרת ה-syslog (אבטחת מידע דורשת TLS לחיבורי syslog)

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים מספר לקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:6514"
      tls:
        cert_file: '/opt/observiq-otel-collector/server.crt'
        key_file: '/opt/observiq-otel-collector/server.key'
  
  exporters:
    chronicle/pan_casb:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  
  service:
    pipelines:
      logs/pan_casb_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/pan_casb
  

  הערה: אבטחת מידע דורשת TLS לחיבורי syslog. צריך להגדיר את TLS במקלט של סוכן Bindplane עם אישור תקף. אם משתמשים באישור בחתימה עצמית, צריך להגדיר את אפשרות ה-TLS לערך peer-verify(optional-untrusted) בצד השרת של שרת Syslog.

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: צריך להגדיר את הערך 0.0.0.0:6514 כדי להאזין בכל הממשקים ביציאה 6514 (יציאת syslog-over-TLS רגילה).
  • ‫cert_file: הנתיב לקובץ אישור TLS של סוכן Bindplane.
  • ‫key_file: הנתיב לקובץ המפתח הפרטי של TLS בשביל סוכן Bindplane.

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח ב-Google SecOps.
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • log_type: צריך להיות בדיוק PAN_CASB
  • ‫ingestion_labels: תוויות אופציונליות לסיווג יומנים

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/pan_casb:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:

• Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
• ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

Linux

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

Windows

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog ב-Palo Alto Networks SaaS Security

כדי להעביר את יומני אבטחת המידע של SaaS Security לסוכן Bindplane, צריך להגדיר מקלט syslog ב-Strata Cloud Manager.

הכנת אישור TLS במארח של סוכן Bindplane

אבטחת מידע דורשת חיבורי syslog מוצפנים באמצעות TLS. לפני שמגדירים את מקלט ה-syslog, צריך להכין את אישור ה-TLS במארח של סוכן Bindplane:

1. חותמים בעצמכם על אישור TLS או מקבלים אישור כזה למארח של סוכן Bindplane.
2. ממקמים את קובצי האישור והמפתח הפרטי במארח של סוכן Bindplane (לדוגמה, /opt/observiq-otel-collector/server.crt ו-/opt/observiq-otel-collector/server.key).
3. מוודאים שההגדרה של סוכן Bindplane מפנה לקבצים האלה בקטע tls של המקבל.

הגדרת מקלט syslog ב-Strata Cloud Manager

1. מתחברים אל Strata Cloud Manager.
2. עוברים אל Configuration > SaaS Security > Settings > Directory & External Services > External Services.
3. לוחצים על Add Syslog/API Client (הוספת לקוח Syslog/API).
4. בוחרים באפשרות Syslog Receiver (מקלט Syslog) כדי ליצור פרופיל של שרת Syslog.
5. בשדה Name, מזינים שם תיאורי לפרופיל (לדוגמה, Chronicle-Bindplane).
6. מזינים את פרטי ההגדרה הבאים:
   • כתובת ה-IP של השרת: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאה: מזינים 6514.
   • מתקן: בוחרים ערך סטנדרטי של syslog (לדוגמה, LOG_USER) כדי לחשב את שדה העדיפות (PRI). הערכים יכולים להיות LOG_USER או LOG_LOCAL0 עד LOG_LOCAL7.
   • פורמט ההודעה: בוחרים באפשרות IETF.

7. כדי לשמור את ההגדרה של מקלט ה-syslog, לוחצים על Save.

   הערה: אבטחת מידע תומכת רק במקלט syslog אחד בכל פעם. אם כבר הגדרתם מקלט syslog, אתם צריכים להסיר אותו לפני שתוסיפו מקלט חדש. נדרש TCP בתור התעבורה האמינה. מומלץ להשתמש בפורמט ההודעה של IETF לחיבורי TCP ו-TLS.

אימות ההעברה של syslog

אחרי ששומרים את ההגדרות של מקלט ה-syslog, המערכת של "אבטחת מידע" תתחיל להעביר את סוגי היומנים הבאים לסוכן Bindplane:

• יומן אירועים
• יומן הפרות המדיניות
• יומן תיקון שגיאות
• יומן מעקב אחרי הפעילות
• יומן ביקורת של אדמין

• יומן האיומים ההתנהגותיים

  הערה: היומנים מועברים בפורמט של ערכים מופרדים בפסיקים (CSV). יכול להיות שיעברו כמה דקות עד שהיומנים יופיעו ב-Google SecOps אחרי ההגדרה.

מידע נוסף זמין במאמרים הגדרת מעקב Syslog ב-אבטחת מידע ושילוב Syslog ב-אבטחת מידע.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
Captive_Portal_label	additional.fields	ממוזג
ConfigVersion_label	additional.fields	ממוזג
InboundInterface_label	additional.fields	ממוזג
LogSetting_label	additional.fields	ממוזג
OutboundInterface_label	additional.fields	ממוזג
ProfileToken_label	additional.fields	ממוזג
SessionEndReason_label	additional.fields	ממוזג
SessionStartTime_label	additional.fields	ממוזג
SubType_label	additional.fields	ממוזג
Subtype_label	additional.fields	ממוזג
Tunnel_label	additional.fields	ממוזג
URLCategory_label	additional.fields	ממוזג
action_label	additional.fields	ממוזג
application_label	additional.fields	ממוזג
application_risk_label	additional.fields	ממוזג
application_technology	additional.fields	ממוזג
auth_method	additional.fields	ממוזג
bytes_label	additional.fields	ממוזג
connection_error	additional.fields	ממוזג
connection_error_id	additional.fields	ממוזג
content_version	additional.fields	ממוזג
count_of_repeats	additional.fields	ממוזג
device_sn	additional.fields	ממוזג
direction_of_attack	additional.fields	ממוזג
event_id_value	additional.fields	ממוזג
file_name	additional.fields	ממוזג
http2_connection	additional.fields	ממוזג
imsi	additional.fields	ממוזג
inbound_interface	additional.fields	ממוזג
log_setting	additional.fields	ממוזג
log_subtype	additional.fields	ממוזג
logtype	additional.fields	ממוזג
message	additional.fields	ערכים ממופים (12 בסך הכול, למשל LEEF: ← application_risk_label, LEEF: ← bytes_label, `...
outbound_interface	additional.fields	ממוזג
packet_id	additional.fields	ממוזג
parent_session_id	additional.fields	ממוזג
partial_hash	additional.fields	ממוזג
repeat_count	additional.fields	ממוזג
sequence_no	additional.fields	ממוזג
session_id	additional.fields	ממוזג
subtype	additional.fields	ממוזג
time_generated_high_resolution	additional.fields	ממוזג
totalPackets_label	additional.fields	ממוזג
tunnel	additional.fields	ממוזג
url_category	additional.fields	ממוזג
urlcategorylist	additional.fields	ממוזג
virtual_location	additional.fields	ממוזג
virtual_system	additional.fields	ממוזג
virtual_system_id	additional.fields	ממוזג
vs_label	additional.fields	ממוזג
column3	extensions.auth.type	מופה: USERID ← PHYSICAL
column4	extensions.auth.type	מיפוי: login → PHYSICAL
column10	intermediary.hostname	מיפוי ישיר
column16	intermediary.hostname	מיפוי ישיר
event_data.EventDescription	metadata.description	מיפוי ישיר
hostname	metadata.description	מיפוי ישיר
msg.policyName	metadata.description	מיפוי ישיר
policyName	metadata.description	מיפוי ישיר
TimeReceived	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
event_data.EventTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_data.TimeGenerated	metadata.event_timestamp	נותח בתור yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_type	metadata.event_type	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, ‏ true ← STATUS_UPDATE
message	metadata.event_type	מיפוי: LEEF: → GENERIC_EVENT
ActionSource	metadata.product_event_type	מיפוי ישיר
LogType	metadata.product_event_type	מיפוי ישיר
SubType	metadata.product_event_type	מיפוי ישיר
Subtype	metadata.product_event_type	מיפוי ישיר
column3	metadata.product_event_type	מיפוי ישיר
event_data.EventName	metadata.product_event_type	מיפוי ישיר
msg.reason	metadata.product_event_type	מיפוי ישיר
reason	metadata.product_event_type	מיפוי ישיר
SequenceNo	metadata.product_log_id	מיפוי ישיר
alertId	metadata.product_log_id	מיפוי ישיר
msg.alertId	metadata.product_log_id	מיפוי ישיר
message	metadata.product_name	מיפוי: LEEF: → CASB
column5	metadata.product_version	מיפוי ישיר
device_version	metadata.product_version	מיפוי ישיר
event_data.GlobalProtectClientVersion	metadata.product_version	מיפוי ישיר
callbackUrl	metadata.url_back_to_product	מיפוי ישיר
msg.callbackUrl	metadata.url_back_to_product	מיפוי ישיר
VendorName	metadata.vendor_name	מיפוי ישיר
message	metadata.vendor_name	מיפוי: LEEF: → Palo Alto Networks
column3	network.application_protocol	מיפוי: THREAT → TCP
has_principal	network.application_protocol	מיפוי: true → TCP
proto	network.application_protocol	מיפוי ישיר
Protocol	network.ip_protocol	מיפוי ישיר
column27	network.ip_protocol	מופה: tcp ← TCP
column3	network.ip_protocol	מופו: TRAFFIC ← TCP, THREAT ← TCP
event_data.Protocol	network.ip_protocol	מיפוי ישיר
proto	network.ip_protocol	מיפוי ישיר
message	network.received_bytes	מיפוי: LEEF: → uinteger
srcBytes	network.received_bytes	מיפוי ישיר
srcPackets	network.received_packets	מיפוי ישיר
dstBytes	network.sent_bytes	מיפוי ישיר
message	network.sent_bytes	מיפוי: LEEF: → uinteger
dstPackets	network.sent_packets	מיפוי ישיר
SessionDuration	network.session_duration.seconds	שם שונה/מיפוי
SessionID	network.session_id	מיפוי ישיר
column21	network.session_id	ממופה כש-column3 == THREAT
event_data.SessionID	network.session_id	מיפוי ישיר
SourceUserDomain	principal.administrative_domain	מיפוי ישיר
DeviceSN	principal.asset.asset_id	מיפוי ישיר
DeviceName	principal.asset.hostname	מיפוי ישיר
event_data.DeviceName	principal.asset.hostname	מיפוי ישיר
SourceAddress	principal.asset.ip	ממוזג
column3	principal.asset.ip	מופו: USERID ← ip, TRAFFIC ← ip, THREAT ← ip
event_data.PublicIPv4	principal.asset.ip	ממוזג
event_data.SourceAddress	principal.asset.ip	ממוזג
ip	principal.asset.ip	ממוזג
column3	principal.asset.nat_ip	מופו: TRAFFIC ← ip, THREAT ← ip
ip	principal.asset.nat_ip	ממוזג
FileType	principal.file.mime_type	מיפוי ישיר
FileName	principal.file.names	ממוזג
DeviceName	principal.hostname	מיפוי ישיר
event_data.DeviceName	principal.hostname	מיפוי ישיר
host	principal.hostname	מיפוי ישיר
SourceAddress	principal.ip	ממוזג
column3	principal.ip	מופו: USERID ← ip, TRAFFIC ← ip, THREAT ← ip
event_data.PublicIPv4	principal.ip	ממוזג
event_data.SourceAddress	principal.ip	ממוזג
ip	principal.ip	ממוזג
message	principal.ip	מיפוי: LEEF: ← ip, LEEF: ← src
src	principal.ip	ממוזג
SourceLocation	principal.location.country_or_region	מיפוי ישיר
column35	principal.location.country_or_region	מיפוי ישיר
event_data.SourceRegion	principal.location.country_or_region	מיפוי ישיר
FromZone	principal.location.name	מיפוי ישיר
event_data.FromZone	principal.location.name	מיפוי ישיר
event_data.HostID	principal.mac	ממוזג
NATSource	principal.nat_ip	ממוזג
column3	principal.nat_ip	מופו: TRAFFIC ← ip, THREAT ← ip
event_data.NATSource	principal.nat_ip	ממוזג
ip	principal.nat_ip	ממוזג
NATSourcePort	principal.nat_port	מיפוי ישיר
column25	principal.nat_port	מיפוי ישיר
event_data.NATSourcePort	principal.nat_port	מיפוי ישיר
EndpointOSType	principal.platform	מיפוי ישיר
event_data.EndpointOSVersion	principal.platform_version	מיפוי ישיר
SourcePort	principal.port	מיפוי ישיר
column13	principal.port	מיפוי ישיר
column23	principal.port	מיפוי ישיר
event_data.SourcePort	principal.port	מיפוי ישיר
srcPort	principal.port	מיפוי ישיר
application_Subcategory	principal.resource.attribute.labels	ממוזג
application_category	principal.resource.attribute.labels	ממוזג
cloudhostname	principal.resource.attribute.labels	ממוזג
cortexdatalaketenantid	principal.resource.attribute.labels	ממוזג
flowtype	principal.resource.attribute.labels	ממוזג
inboundinterfacedetailstype	principal.resource.attribute.labels	ממוזג
log_source_id	principal.resource.attribute.labels	ממוזג
log_source_name	principal.resource.attribute.labels	ממוזג
log_type	principal.resource.attribute.labels	ממוזג
logsource	principal.resource.attribute.labels	ממוזג
outboundinterfacedetailstype	principal.resource.attribute.labels	ממוזג
panorama_sn	principal.resource.attribute.labels	ממוזג
platform_type	principal.resource.attribute.labels	ממוזג
source_label	principal.resource.attribute.labels	ממוזג
source_location	principal.resource.attribute.labels	ממוזג
column4	principal.resource.type	מיפוי ישיר
column2	principal.user.product_object_id	מיפוי ישיר
SourceUser	principal.user.userid	מיפוי ישיר
SourceUserName	principal.user.userid	מיפוי ישיר
column12	principal.user.userid	מיפוי ישיר
usrName	principal.user.userid	מיפוי ישיר
message	security_result	מופה: LEEF: ← security_result
sec_result	security_result	ממוזג
action	security_result.action	ממוזג
action_value	security_result.action_details	מיפוי ישיר
cat	security_result.category_details	ממוזג
column3	security_result.category_details	מיפוי: THREAT ← column94, ‏ THREAT ← column97, ‏ THREAT ← column98
column94	security_result.category_details	ממוזג
column97	security_result.category_details	ממוזג
column98	security_result.category_details	ממוזג
message	security_result.category_details	מיפוי: LEEF: → cat
msg.policyDescription	security_result.description	מיפוי ישיר
policyDescription	security_result.description	מיפוי ישיר
DGHierarchyLevel1_label	security_result.detection_fields	ממוזג
DGHierarchyLevel2_label	security_result.detection_fields	ממוזג
DGHierarchyLevel3_label	security_result.detection_fields	ממוזג
DGHierarchyLevel4_label	security_result.detection_fields	ממוזג
action_label	security_result.detection_fields	ממוזג
alert_status	security_result.detection_fields	ממוזג
eventstatus_label	security_result.detection_fields	ממוזג
policy_id	security_result.detection_fields	ממוזג
policy_recommendation	security_result.detection_fields	ממוזג
policy_type	security_result.detection_fields	ממוזג
portal_label	security_result.detection_fields	ממוזג
stage_label	security_result.detection_fields	ממוזג
threat_category	security_result.detection_fields	ממוזג
RuleUUID	security_result.rule_id	מיפוי ישיר
alertRuleId	security_result.rule_id	מיפוי ישיר
column61	security_result.rule_id	מיפוי ישיר
event_data.RuleUUID	security_result.rule_id	מיפוי ישיר
msg.alertRuleId	security_result.rule_id	מיפוי ישיר
Rule	security_result.rule_name	מיפוי ישיר
alertRuleName	security_result.rule_name	מיפוי ישיר
column11	security_result.rule_name	מיפוי ישיר
event_data.Rule	security_result.rule_name	מיפוי ישיר
msg.alertRuleName	security_result.rule_name	מיפוי ישיר
Severity	security_result.severity	מיפוי ישיר
column3	security_result.severity	מיפוי: THREAT → INFORMATIONAL
column31	security_result.severity	מיפוי: Informational → INFORMATIONAL
msg.severity	security_result.severity	מיפוי ישיר
severity	security_result.severity	מיפוי ישיר
ThreatNameFirewall	security_result.threat_name	מיפוי ישיר
Application	target.application	מיפוי ישיר
TunneledApplication	target.application	מיפוי ישיר
column13	target.asset.hostname	מיפוי ישיר
DestinationAddress	target.asset.ip	ממוזג
column3	target.asset.ip	מופו: TRAFFIC ← ip, THREAT ← ip
dest_ip	target.asset.ip	ממוזג
event_data.DestinationAddress	target.asset.ip	ממוזג
ip	target.asset.ip	ממוזג
column3	target.asset.nat_ip	מופו: TRAFFIC ← ip, THREAT ← ip
ip	target.asset.nat_ip	ממוזג
accountId	target.hostname	מיפוי ישיר
column13	target.hostname	מיפוי ישיר
msg.accountId	target.hostname	מיפוי ישיר
DestinationAddress	target.ip	ממוזג
column3	target.ip	מופו: TRAFFIC ← ip, THREAT ← ip
dest_ip	target.ip	ממוזג
dst	target.ip	ממוזג
event_data.DestinationAddress	target.ip	ממוזג
ip	target.ip	ממוזג
message	target.ip	מופה: LEEF: ← dst
network_ip	target.ip	ממוזג
DestinationLocation	target.location.country_or_region	מיפוי ישיר
Location	target.location.country_or_region	מיפוי ישיר
event_data.DestinationLocation	target.location.country_or_region	מיפוי ישיר
msg.resourceRegionId	target.location.country_or_region	מיפוי ישיר
resourceRegionId	target.location.country_or_region	מיפוי ישיר
ToZone	target.location.name	מיפוי ישיר
event_data.ToZone	target.location.name	מיפוי ישיר
network_mac	target.mac	ממוזג
NATDestination	target.nat_ip	ממוזג
column3	target.nat_ip	מופו: TRAFFIC ← ip, THREAT ← ip
event_data.NATDestination	target.nat_ip	ממוזג
ip	target.nat_ip	ממוזג
NATDestinationPort	target.nat_port	מיפוי ישיר
column26	target.nat_port	מיפוי ישיר
event_data.NATDestinationPort	target.nat_port	מיפוי ישיר
DestinationPort	target.port	מיפוי ישיר
column24	target.port	מיפוי ישיר
dstPort	target.port	מיפוי ישיר
event_data.DestinationPort	target.port	מיפוי ישיר
cloudType	target.resource.attribute.cloud.environment	מיפוי: gcp ← GOOGLE_CLOUD_PLATFORM, aws ← AMAZON_WEB_SERVICES, azure ← `MICROSOFT...
accountName	target.resource.attribute.cloud.project.id	מיפוי ישיר
msg.accountName	target.resource.attribute.cloud.project.id	מיפוי ישיר
networkInterfaceId	target.resource.attribute.labels	ממוזג
privateDnsName	target.resource.attribute.labels	ממוזג
publicDnsName	target.resource.attribute.labels	ממוזג
resource_type_label	target.resource.attribute.labels	ממוזג
subnetId	target.resource.attribute.labels	ממוזג
tag_label	target.resource.attribute.labels	ממוזג
vpcId	target.resource.attribute.labels	ממוזג
msg.resourceName	target.resource.name	מיפוי ישיר
resourceName	target.resource.name	מיפוי ישיר
msg.resourceId	target.resource.product_object_id	מיפוי ישיר
resourceId	target.resource.product_object_id	מיפוי ישיר
URL	target.url	מיפוי ישיר
URLDomain	target.url	מיפוי ישיר
column29	target.url	מיפוי ישיר
resource.data.securityGroups.0.groupId	target.user.group_identifiers	ממוזג
resource.data.securityGroups.0.groupName	target.user.group_identifiers	ממוזג
DestinationUser	target.user.user_display_name	מיפוי ישיר
DestinationUser	target.user.userid	מיפוי ישיר
column9	target.user.userid	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: USER_RESOURCE_ACCESS
לא רלוונטי	metadata.product_name	קבוע: CASB
לא רלוונטי	metadata.vendor_name	קבוע: Palo Alto Networks
לא רלוונטי	network.application_protocol	קבוע: TCP
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
לא רלוונטי	target.resource.attribute.cloud.environment	קבוע: GOOGLE_CLOUD_PLATFORM
column6	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column7	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column9	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column10	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column13	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column21	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column24	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column27	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column31	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column32	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column33	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column34	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column35	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column36	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column37	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column38	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column39	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column41	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column42	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column43	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column44	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
column3	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
column8	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
column5	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
column30	event.idm.read_only_udm.network.session_duration.seconds	מופה מיומן השינויים
column11	event.idm.read_only_udm.network.tls.next_protocol	מופה מיומן השינויים
column46	event.idm.read_only_udm.observer.hostname וגם event.idm.read_only_udm.observer.asset.hostname	מופה מיומן השינויים
column45	event.idm.read_only_udm.observer.resource.name	מופה מיומן השינויים
column47	event.idm.read_only_udm.observer.resource.product_object_id	מופה מיומן השינויים
column19	event.idm.read_only_udm.principal.asset.asset_id	מופה מיומן השינויים
column20	event.idm.read_only_udm.principal.asset.hardware.serial_number	מופה מיומן השינויים
column14	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
column15	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column16	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column17	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column18	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
column13	event.idm.read_only_udm.principal.location.country_or_region	מופה מיומן השינויים
column22	event.idm.read_only_udm.principal.platform	מופה מיומן השינויים
column23	event.idm.read_only_udm.principal.platform_version	מופה מיומן השינויים
column4	event.idm.read_only_udm.principal.resource.name	מופה מיומן השינויים
column2	event.idm.read_only_udm.principal.user.product_object_id	מופה מיומן השינויים
column12	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
column25	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
column26	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
column40	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
column29	event.idm.read_only_udm.target.location.country_or_region	מופה מיומן השינויים
timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
VirtualSystemID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ApplicationTechnology	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
LogType	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
Subtype	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
Subtype	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
action_value	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
ThreatNameFirewall	event.idm.read_only_udm.security_result.threat_name	מופה מיומן השינויים
SessionID	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
DeviceName	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
DeviceName	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
Location	event.idm.read_only_udm.target.location.country_or_region	מופה מיומן השינויים
TunneledApplication	event.idm.read_only_udm.target.application	מופה מיומן השינויים
URLDomain	event.idm.read_only_udm.target.url	מופה מיומן השינויים
SourceUserName	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
action	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
column35	event.idm.read_only_udm.principal.location.country_or_region	מופה מיומן השינויים
column61	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
column94	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
column97	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
column98	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
column21	event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id	מופה מיומן השינויים
ThreatCategory	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
SubType	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
FileName	event.idm.read_only_udm.principal.file.names	מופה מיומן השינויים
FileType	event.idm.read_only_udm.principal.file.mime_type	מופה מיומן השינויים
LogType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
HTTP2Connection	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
LogSetting	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
InboundInterface	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OutboundInterface	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Application	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
VirtualLocation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
CaptivePortal	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
URLCategoryList	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SessionID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RepeatCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ConfigVersion	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
URLCategory	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
DirectionOfAttack	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SequenceNo	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
PacketID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
DestinationAddress	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
VirtualSystemName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IMSI	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ParentSessionID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Tunnel	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ApplicationRisk	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ContentVersion	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TimeGeneratedHighResolution	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ApplicationCategory	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
ApplicationSubcategory	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
LogType	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
SourceLocation	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
CloudHostname	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
CortexDataLakeTenantID	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
FlowType	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
InboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
LogSource	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
OutboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
PanoramaSN	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
PlatformType	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
Action	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
DGHierarchyLevel1	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
DGHierarchyLevel2	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
DGHierarchyLevel3	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
DGHierarchyLevel4	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
Severity	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
RuleUUID	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
Rule	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
Protocol	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
ToZone	event.idm.read_only_udm.target.location.name	מופה מיומן השינויים
SourceAddress	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
SourceAddress	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
DestinationAddress	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
DestinationAddress	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
NATSource	event.idm.read_only_udm.principal.nat_ip	מופה מיומן השינויים
NATDestination	event.idm.read_only_udm.target.nat_ip	מופה מיומן השינויים
SourceUser	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
DestinationUser	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
SourcePort	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
DestinationPort	event.idm.read_only_udm.target.port	מופה מיומן השינויים
NATSourcePort	event.idm.read_only_udm.principal.nat_port	מופה מיומן השינויים
NATDestinationPort	event.idm.read_only_udm.target.nat_port	מופה מיומן השינויים
URL	event.idm.read_only_udm.target.url	מופה מיומן השינויים
DeviceSN	event.idm.read_only_udm.principal.asset.asset_id	מופה מיומן השינויים
FromZone	event.idm.read_only_udm.principal.location.name	מופה מיומן השינויים
DestinationLocation	event.idm.read_only_udm.target.location.country_or_region	מופה מיומן השינויים
X-Forwarded-For	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
SourceUserDomain	event.idm.read_only_udm.principal.administrative_domain	מופה מיומן השינויים
VendorName	event.idm.read_only_udm.metadata.vendor_name	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.