Mengumpulkan log CASB Palo Alto Prisma Access

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Palo Alto Prisma Access CASB ke Google Security Operations menggunakan agen Bindplane.

Palo Alto Networks SaaS Security (juga dikenal sebagai Next-Generation CASB) adalah Cloud Access Security Broker yang dikirimkan melalui cloud dan terintegrasi dengan Prisma Access. CASB memberikan visibilitas dan kontrol atas aplikasi SaaS yang disetujui dan tidak disetujui, mendeteksi pelanggaran kebijakan data, memantau aktivitas pengguna, dan memitigasi risiko di seluruh layanan cloud. Keamanan Data, yang merupakan bagian dari Keamanan SaaS, menghasilkan log untuk insiden, pelanggaran kebijakan, aktivitas perbaikan, pemantauan aktivitas, peristiwa audit admin, dan ancaman perilaku.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan layanan Palo Alto Networks SaaS Security
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Lisensi Palo Alto Networks SaaS Security (Keamanan Data), lisensi CASB-X, atau lisensi CASB-PA
• Akses administratif ke Strata Cloud Manager dengan izin untuk mengonfigurasi setelan SaaS Security
• Sertifikat TLS yang valid di server syslog (Keamanan Data memerlukan TLS untuk koneksi syslog)

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:6514"
      tls:
        cert_file: '/opt/observiq-otel-collector/server.crt'
        key_file: '/opt/observiq-otel-collector/server.key'
  
  exporters:
    chronicle/pan_casb:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  
  service:
    pipelines:
      logs/pan_casb_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/pan_casb
  

  Catatan: Keamanan Data memerlukan TLS untuk koneksi syslog. Anda harus mengonfigurasi TLS pada penerima agen Bindplane dengan sertifikat yang valid. Jika Anda menggunakan sertifikat yang ditandatangani sendiri, tetapkan opsi TLS ke peer-verify(optional-untrusted) di sisi server syslog.

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Setel ke 0.0.0.0:6514 untuk memproses semua antarmuka di port 6514 (port syslog-over-TLS standar).
  • cert_file: Jalur ke file sertifikat TLS untuk agen BindPlane.
  • key_file: Jalur ke file kunci pribadi TLS untuk agen Bindplane.

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID pelanggan Google SecOps Anda.
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.
  • log_type: Harus sama persis dengan PAN_CASB
  • ingestion_labels: Label opsional untuk mengategorikan log

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/pan_casb:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

Setelah mengedit, simpan file:

• Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
• Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Linux

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

Windows

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog Palo Alto Networks SaaS Security

Untuk meneruskan log Keamanan Data SaaS Security ke agen Bindplane, konfigurasi penerima syslog di Strata Cloud Manager.

Menyiapkan sertifikat TLS di host agen Bindplane

Keamanan Data memerlukan koneksi syslog yang dienkripsi TLS. Sebelum mengonfigurasi penerima syslog, siapkan sertifikat TLS di host agen Bindplane:

1. Menandatangani sendiri atau mendapatkan sertifikat TLS untuk host agen BindPlane.
2. Tempatkan file sertifikat dan kunci pribadi di host agen Bindplane (misalnya, /opt/observiq-otel-collector/server.crt dan /opt/observiq-otel-collector/server.key).
3. Pastikan konfigurasi agen Bindplane merujuk file ini di bagian tls penerima.

Mengonfigurasi penerima syslog di Strata Cloud Manager

1. Login ke Strata Cloud Manager.
2. Buka Konfigurasi > SaaS Security > Setelan > Direktori & Layanan Eksternal > Layanan Eksternal.
3. Klik Add Syslog/API Client.
4. Pilih Syslog Receiver untuk membuat profil server syslog.
5. Di kolom Name, masukkan nama deskriptif untuk profil (misalnya, Chronicle-Bindplane).
6. Berikan detail konfigurasi berikut:
   • IP Server: Masukkan alamat IP host agen Bindplane.
   • Port: Masukkan 6514.
   • Fasilitas: Pilih nilai standar syslog (misalnya, LOG_USER) untuk menghitung kolom prioritas (PRI). Nilainya dapat berupa LOG_USER atau LOG_LOCAL0 hingga LOG_LOCAL7.
   • Format pesan: Pilih IETF.

7. Klik Save untuk menyimpan konfigurasi penerima syslog.

   Catatan: Keamanan Data hanya mendukung satu penerima syslog dalam satu waktu. Jika sudah mengonfigurasi penerima syslog, Anda harus menghapusnya sebelum menambahkan yang baru. TCP diperlukan sebagai transport yang andal. Format pesan IETF direkomendasikan untuk koneksi TCP dan TLS.

Memverifikasi penerusan syslog

Setelah menyimpan konfigurasi penerima syslog, Keamanan Data akan mulai meneruskan jenis log berikut ke agen Bindplane:

• Log insiden
• Log Pelanggaran Kebijakan
• Log perbaikan
• Log Pemantauan Aktivitas
• Log Audit Admin

• Log Ancaman Perilaku

  Catatan: Log diteruskan dalam format nilai yang dipisahkan koma (CSV). Mungkin perlu waktu beberapa menit agar log muncul di Google SecOps setelah konfigurasi.

Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi Pemantauan Syslog di Keamanan Data dan Integrasi Syslog di Keamanan Data.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
Captive_Portal_label	additional.fields	Digabung
ConfigVersion_label	additional.fields	Digabung
InboundInterface_label	additional.fields	Digabung
LogSetting_label	additional.fields	Digabung
OutboundInterface_label	additional.fields	Digabung
ProfileToken_label	additional.fields	Digabung
SessionEndReason_label	additional.fields	Digabung
SessionStartTime_label	additional.fields	Digabung
SubType_label	additional.fields	Digabung
Subtype_label	additional.fields	Digabung
Tunnel_label	additional.fields	Digabung
URLCategory_label	additional.fields	Digabung
action_label	additional.fields	Digabung
application_label	additional.fields	Digabung
application_risk_label	additional.fields	Digabung
application_technology	additional.fields	Digabung
auth_method	additional.fields	Digabung
bytes_label	additional.fields	Digabung
connection_error	additional.fields	Digabung
connection_error_id	additional.fields	Digabung
content_version	additional.fields	Digabung
count_of_repeats	additional.fields	Digabung
device_sn	additional.fields	Digabung
direction_of_attack	additional.fields	Digabung
event_id_value	additional.fields	Digabung
file_name	additional.fields	Digabung
http2_connection	additional.fields	Digabung
imsi	additional.fields	Digabung
inbound_interface	additional.fields	Digabung
log_setting	additional.fields	Digabung
log_subtype	additional.fields	Digabung
logtype	additional.fields	Digabung
message	additional.fields	Nilai yang dipetakan (total 12, misalnya LEEF: → application_risk_label, LEEF: → bytes_label, `...
outbound_interface	additional.fields	Digabung
packet_id	additional.fields	Digabung
parent_session_id	additional.fields	Digabung
partial_hash	additional.fields	Digabung
repeat_count	additional.fields	Digabung
sequence_no	additional.fields	Digabung
session_id	additional.fields	Digabung
subtype	additional.fields	Digabung
time_generated_high_resolution	additional.fields	Digabung
totalPackets_label	additional.fields	Digabung
tunnel	additional.fields	Digabung
url_category	additional.fields	Digabung
urlcategorylist	additional.fields	Digabung
virtual_location	additional.fields	Digabung
virtual_system	additional.fields	Digabung
virtual_system_id	additional.fields	Digabung
vs_label	additional.fields	Digabung
column3	extensions.auth.type	Dipetakan: USERID → PHYSICAL
column4	extensions.auth.type	Dipetakan: login → PHYSICAL
column10	intermediary.hostname	Dipetakan secara langsung
column16	intermediary.hostname	Dipetakan secara langsung
event_data.EventDescription	metadata.description	Dipetakan secara langsung
hostname	metadata.description	Dipetakan secara langsung
msg.policyName	metadata.description	Dipetakan secara langsung
policyName	metadata.description	Dipetakan secara langsung
TimeReceived	metadata.event_timestamp	Diuraikan sebagai ISO8601
event_data.EventTime	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_data.TimeGenerated	metadata.event_timestamp	Diurai sebagai yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_type	metadata.event_type	Dipetakan secara langsung
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
message	metadata.event_type	Dipetakan: LEEF: → GENERIC_EVENT
ActionSource	metadata.product_event_type	Dipetakan secara langsung
LogType	metadata.product_event_type	Dipetakan secara langsung
SubType	metadata.product_event_type	Dipetakan secara langsung
Subtype	metadata.product_event_type	Dipetakan secara langsung
column3	metadata.product_event_type	Dipetakan secara langsung
event_data.EventName	metadata.product_event_type	Dipetakan secara langsung
msg.reason	metadata.product_event_type	Dipetakan secara langsung
reason	metadata.product_event_type	Dipetakan secara langsung
SequenceNo	metadata.product_log_id	Dipetakan secara langsung
alertId	metadata.product_log_id	Dipetakan secara langsung
msg.alertId	metadata.product_log_id	Dipetakan secara langsung
message	metadata.product_name	Dipetakan: LEEF: → CASB
column5	metadata.product_version	Dipetakan secara langsung
device_version	metadata.product_version	Dipetakan secara langsung
event_data.GlobalProtectClientVersion	metadata.product_version	Dipetakan secara langsung
callbackUrl	metadata.url_back_to_product	Dipetakan secara langsung
msg.callbackUrl	metadata.url_back_to_product	Dipetakan secara langsung
VendorName	metadata.vendor_name	Dipetakan secara langsung
message	metadata.vendor_name	Dipetakan: LEEF: → Palo Alto Networks
column3	network.application_protocol	Dipetakan: THREAT → TCP
has_principal	network.application_protocol	Dipetakan: true → TCP
proto	network.application_protocol	Dipetakan secara langsung
Protocol	network.ip_protocol	Dipetakan secara langsung
column27	network.ip_protocol	Dipetakan: tcp → TCP
column3	network.ip_protocol	Dipetakan: TRAFFIC → TCP, THREAT → TCP
event_data.Protocol	network.ip_protocol	Dipetakan secara langsung
proto	network.ip_protocol	Dipetakan secara langsung
message	network.received_bytes	Dipetakan: LEEF: → uinteger
srcBytes	network.received_bytes	Dipetakan secara langsung
srcPackets	network.received_packets	Dipetakan secara langsung
dstBytes	network.sent_bytes	Dipetakan secara langsung
message	network.sent_bytes	Dipetakan: LEEF: → uinteger
dstPackets	network.sent_packets	Dipetakan secara langsung
SessionDuration	network.session_duration.seconds	Diganti namanya/dipetakan
SessionID	network.session_id	Dipetakan secara langsung
column21	network.session_id	Dipetakan saat column3 == THREAT
event_data.SessionID	network.session_id	Dipetakan secara langsung
SourceUserDomain	principal.administrative_domain	Dipetakan secara langsung
DeviceSN	principal.asset.asset_id	Dipetakan secara langsung
DeviceName	principal.asset.hostname	Dipetakan secara langsung
event_data.DeviceName	principal.asset.hostname	Dipetakan secara langsung
SourceAddress	principal.asset.ip	Digabung
column3	principal.asset.ip	Dipetakan: USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4	principal.asset.ip	Digabung
event_data.SourceAddress	principal.asset.ip	Digabung
ip	principal.asset.ip	Digabung
column3	principal.asset.nat_ip	Dipetakan: TRAFFIC → ip, THREAT → ip
ip	principal.asset.nat_ip	Digabung
FileType	principal.file.mime_type	Dipetakan secara langsung
FileName	principal.file.names	Digabung
DeviceName	principal.hostname	Dipetakan secara langsung
event_data.DeviceName	principal.hostname	Dipetakan secara langsung
host	principal.hostname	Dipetakan secara langsung
SourceAddress	principal.ip	Digabung
column3	principal.ip	Dipetakan: USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4	principal.ip	Digabung
event_data.SourceAddress	principal.ip	Digabung
ip	principal.ip	Digabung
message	principal.ip	Dipetakan: LEEF: → ip, LEEF: → src
src	principal.ip	Digabung
SourceLocation	principal.location.country_or_region	Dipetakan secara langsung
column35	principal.location.country_or_region	Dipetakan secara langsung
event_data.SourceRegion	principal.location.country_or_region	Dipetakan secara langsung
FromZone	principal.location.name	Dipetakan secara langsung
event_data.FromZone	principal.location.name	Dipetakan secara langsung
event_data.HostID	principal.mac	Digabung
NATSource	principal.nat_ip	Digabung
column3	principal.nat_ip	Dipetakan: TRAFFIC → ip, THREAT → ip
event_data.NATSource	principal.nat_ip	Digabung
ip	principal.nat_ip	Digabung
NATSourcePort	principal.nat_port	Dipetakan secara langsung
column25	principal.nat_port	Dipetakan secara langsung
event_data.NATSourcePort	principal.nat_port	Dipetakan secara langsung
EndpointOSType	principal.platform	Dipetakan secara langsung
event_data.EndpointOSVersion	principal.platform_version	Dipetakan secara langsung
SourcePort	principal.port	Dipetakan secara langsung
column13	principal.port	Dipetakan secara langsung
column23	principal.port	Dipetakan secara langsung
event_data.SourcePort	principal.port	Dipetakan secara langsung
srcPort	principal.port	Dipetakan secara langsung
application_Subcategory	principal.resource.attribute.labels	Digabung
application_category	principal.resource.attribute.labels	Digabung
cloudhostname	principal.resource.attribute.labels	Digabung
cortexdatalaketenantid	principal.resource.attribute.labels	Digabung
flowtype	principal.resource.attribute.labels	Digabung
inboundinterfacedetailstype	principal.resource.attribute.labels	Digabung
log_source_id	principal.resource.attribute.labels	Digabung
log_source_name	principal.resource.attribute.labels	Digabung
log_type	principal.resource.attribute.labels	Digabung
logsource	principal.resource.attribute.labels	Digabung
outboundinterfacedetailstype	principal.resource.attribute.labels	Digabung
panorama_sn	principal.resource.attribute.labels	Digabung
platform_type	principal.resource.attribute.labels	Digabung
source_label	principal.resource.attribute.labels	Digabung
source_location	principal.resource.attribute.labels	Digabung
column4	principal.resource.type	Dipetakan secara langsung
column2	principal.user.product_object_id	Dipetakan secara langsung
SourceUser	principal.user.userid	Dipetakan secara langsung
SourceUserName	principal.user.userid	Dipetakan secara langsung
column12	principal.user.userid	Dipetakan secara langsung
usrName	principal.user.userid	Dipetakan secara langsung
message	security_result	Dipetakan: LEEF: → security_result
sec_result	security_result	Digabung
action	security_result.action	Digabung
action_value	security_result.action_details	Dipetakan secara langsung
cat	security_result.category_details	Digabung
column3	security_result.category_details	Dipetakan: THREAT → column94, THREAT → column97, THREAT → column98
column94	security_result.category_details	Digabung
column97	security_result.category_details	Digabung
column98	security_result.category_details	Digabung
message	security_result.category_details	Dipetakan: LEEF: → cat
msg.policyDescription	security_result.description	Dipetakan secara langsung
policyDescription	security_result.description	Dipetakan secara langsung
DGHierarchyLevel1_label	security_result.detection_fields	Digabung
DGHierarchyLevel2_label	security_result.detection_fields	Digabung
DGHierarchyLevel3_label	security_result.detection_fields	Digabung
DGHierarchyLevel4_label	security_result.detection_fields	Digabung
action_label	security_result.detection_fields	Digabung
alert_status	security_result.detection_fields	Digabung
eventstatus_label	security_result.detection_fields	Digabung
policy_id	security_result.detection_fields	Digabung
policy_recommendation	security_result.detection_fields	Digabung
policy_type	security_result.detection_fields	Digabung
portal_label	security_result.detection_fields	Digabung
stage_label	security_result.detection_fields	Digabung
threat_category	security_result.detection_fields	Digabung
RuleUUID	security_result.rule_id	Dipetakan secara langsung
alertRuleId	security_result.rule_id	Dipetakan secara langsung
column61	security_result.rule_id	Dipetakan secara langsung
event_data.RuleUUID	security_result.rule_id	Dipetakan secara langsung
msg.alertRuleId	security_result.rule_id	Dipetakan secara langsung
Rule	security_result.rule_name	Dipetakan secara langsung
alertRuleName	security_result.rule_name	Dipetakan secara langsung
column11	security_result.rule_name	Dipetakan secara langsung
event_data.Rule	security_result.rule_name	Dipetakan secara langsung
msg.alertRuleName	security_result.rule_name	Dipetakan secara langsung
Severity	security_result.severity	Dipetakan secara langsung
column3	security_result.severity	Dipetakan: THREAT → INFORMATIONAL
column31	security_result.severity	Dipetakan: Informational → INFORMATIONAL
msg.severity	security_result.severity	Dipetakan secara langsung
severity	security_result.severity	Dipetakan secara langsung
ThreatNameFirewall	security_result.threat_name	Dipetakan secara langsung
Application	target.application	Dipetakan secara langsung
TunneledApplication	target.application	Dipetakan secara langsung
column13	target.asset.hostname	Dipetakan secara langsung
DestinationAddress	target.asset.ip	Digabung
column3	target.asset.ip	Dipetakan: TRAFFIC → ip, THREAT → ip
dest_ip	target.asset.ip	Digabung
event_data.DestinationAddress	target.asset.ip	Digabung
ip	target.asset.ip	Digabung
column3	target.asset.nat_ip	Dipetakan: TRAFFIC → ip, THREAT → ip
ip	target.asset.nat_ip	Digabung
accountId	target.hostname	Dipetakan secara langsung
column13	target.hostname	Dipetakan secara langsung
msg.accountId	target.hostname	Dipetakan secara langsung
DestinationAddress	target.ip	Digabung
column3	target.ip	Dipetakan: TRAFFIC → ip, THREAT → ip
dest_ip	target.ip	Digabung
dst	target.ip	Digabung
event_data.DestinationAddress	target.ip	Digabung
ip	target.ip	Digabung
message	target.ip	Dipetakan: LEEF: → dst
network_ip	target.ip	Digabung
DestinationLocation	target.location.country_or_region	Dipetakan secara langsung
Location	target.location.country_or_region	Dipetakan secara langsung
event_data.DestinationLocation	target.location.country_or_region	Dipetakan secara langsung
msg.resourceRegionId	target.location.country_or_region	Dipetakan secara langsung
resourceRegionId	target.location.country_or_region	Dipetakan secara langsung
ToZone	target.location.name	Dipetakan secara langsung
event_data.ToZone	target.location.name	Dipetakan secara langsung
network_mac	target.mac	Digabung
NATDestination	target.nat_ip	Digabung
column3	target.nat_ip	Dipetakan: TRAFFIC → ip, THREAT → ip
event_data.NATDestination	target.nat_ip	Digabung
ip	target.nat_ip	Digabung
NATDestinationPort	target.nat_port	Dipetakan secara langsung
column26	target.nat_port	Dipetakan secara langsung
event_data.NATDestinationPort	target.nat_port	Dipetakan secara langsung
DestinationPort	target.port	Dipetakan secara langsung
column24	target.port	Dipetakan secara langsung
dstPort	target.port	Dipetakan secara langsung
event_data.DestinationPort	target.port	Dipetakan secara langsung
cloudType	target.resource.attribute.cloud.environment	Dipetakan: gcp → GOOGLE_CLOUD_PLATFORM, aws → AMAZON_WEB_SERVICES, azure → `MICROSOFT...
accountName	target.resource.attribute.cloud.project.id	Dipetakan secara langsung
msg.accountName	target.resource.attribute.cloud.project.id	Dipetakan secara langsung
networkInterfaceId	target.resource.attribute.labels	Digabung
privateDnsName	target.resource.attribute.labels	Digabung
publicDnsName	target.resource.attribute.labels	Digabung
resource_type_label	target.resource.attribute.labels	Digabung
subnetId	target.resource.attribute.labels	Digabung
tag_label	target.resource.attribute.labels	Digabung
vpcId	target.resource.attribute.labels	Digabung
msg.resourceName	target.resource.name	Dipetakan secara langsung
resourceName	target.resource.name	Dipetakan secara langsung
msg.resourceId	target.resource.product_object_id	Dipetakan secara langsung
resourceId	target.resource.product_object_id	Dipetakan secara langsung
URL	target.url	Dipetakan secara langsung
URLDomain	target.url	Dipetakan secara langsung
column29	target.url	Dipetakan secara langsung
resource.data.securityGroups.0.groupId	target.user.group_identifiers	Digabung
resource.data.securityGroups.0.groupName	target.user.group_identifiers	Digabung
DestinationUser	target.user.user_display_name	Dipetakan secara langsung
DestinationUser	target.user.userid	Dipetakan secara langsung
column9	target.user.userid	Dipetakan secara langsung
T/A	metadata.event_type	Konstanta: USER_RESOURCE_ACCESS
T/A	metadata.product_name	Konstanta: CASB
T/A	metadata.vendor_name	Konstanta: Palo Alto Networks
T/A	network.application_protocol	Konstanta: TCP
T/A	security_result.severity	Konstanta: INFORMATIONAL
T/A	target.resource.attribute.cloud.environment	Konstanta: GOOGLE_CLOUD_PLATFORM
column6	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column7	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column9	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column10	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column13	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column21	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column24	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column27	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column31	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column32	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column33	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column34	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column35	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column36	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column37	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column38	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column39	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column41	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column42	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column43	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column44	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
column3	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
column8	event.idm.read_only_udm.metadata.product_log_id	Dipetakan dari log perubahan
column5	event.idm.read_only_udm.metadata.product_version	Dipetakan dari log perubahan
column30	event.idm.read_only_udm.network.session_duration.seconds	Dipetakan dari log perubahan
column11	event.idm.read_only_udm.network.tls.next_protocol	Dipetakan dari log perubahan
column46	event.idm.read_only_udm.observer.hostname dan event.idm.read_only_udm.observer.asset.hostname	Dipetakan dari log perubahan
column45	event.idm.read_only_udm.observer.resource.name	Dipetakan dari log perubahan
column47	event.idm.read_only_udm.observer.resource.product_object_id	Dipetakan dari log perubahan
column19	event.idm.read_only_udm.principal.asset.asset_id	Dipetakan dari log perubahan
column20	event.idm.read_only_udm.principal.asset.hardware.serial_number	Dipetakan dari log perubahan
column14	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
column15	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
column16	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
column17	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
column18	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
column13	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan dari log perubahan
column22	event.idm.read_only_udm.principal.platform	Dipetakan dari log perubahan
column23	event.idm.read_only_udm.principal.platform_version	Dipetakan dari log perubahan
column4	event.idm.read_only_udm.principal.resource.name	Dipetakan dari log perubahan
column2	event.idm.read_only_udm.principal.user.product_object_id	Dipetakan dari log perubahan
column12	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
column25	event.idm.read_only_udm.security_result.description	Dipetakan dari log perubahan
column26	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
column40	event.idm.read_only_udm.target.hostname dan event.idm.read_only_udm.target.asset.hostname	Dipetakan dari log perubahan
column29	event.idm.read_only_udm.target.location.country_or_region	Dipetakan dari log perubahan
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
VirtualSystemID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ApplicationTechnology	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
LogType	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
Subtype	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
Subtype	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
action_value	event.idm.read_only_udm.security_result.action_details	Dipetakan dari log perubahan
ThreatNameFirewall	event.idm.read_only_udm.security_result.threat_name	Dipetakan dari log perubahan
SessionID	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
DeviceName	event.idm.read_only_udm.principal.hostname	Dipetakan dari log perubahan
DeviceName	event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
Location	event.idm.read_only_udm.target.location.country_or_region	Dipetakan dari log perubahan
TunneledApplication	event.idm.read_only_udm.target.application	Dipetakan dari log perubahan
URLDomain	event.idm.read_only_udm.target.url	Dipetakan dari log perubahan
SourceUserName	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
action	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
column35	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan dari log perubahan
column61	event.idm.read_only_udm.security_result.rule_id	Dipetakan dari log perubahan
column94	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
column97	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
column98	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
column21	event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
ThreatCategory	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
SubType	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
FileName	event.idm.read_only_udm.principal.file.names	Dipetakan dari log perubahan
FileType	event.idm.read_only_udm.principal.file.mime_type	Dipetakan dari log perubahan
LogType	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
HTTP2Connection	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
LogSetting	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
InboundInterface	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
OutboundInterface	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Application	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
VirtualLocation	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
CaptivePortal	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
URLCategoryList	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
SessionID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RepeatCount	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ConfigVersion	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
URLCategory	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
DirectionOfAttack	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
SequenceNo	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
PacketID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
DestinationAddress	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
VirtualSystemName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IMSI	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ParentSessionID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Tunnel	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ApplicationRisk	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ContentVersion	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
TimeGeneratedHighResolution	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ApplicationCategory	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
ApplicationSubcategory	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
LogType	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
SourceLocation	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
CloudHostname	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
CortexDataLakeTenantID	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
FlowType	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
InboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
LogSource	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
OutboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
PanoramaSN	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
PlatformType	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
Action	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
DGHierarchyLevel1	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
DGHierarchyLevel2	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
DGHierarchyLevel3	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
DGHierarchyLevel4	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Severity	event.idm.read_only_udm.security_result.severity	Dipetakan dari log perubahan
RuleUUID	event.idm.read_only_udm.security_result.rule_id	Dipetakan dari log perubahan
Rule	event.idm.read_only_udm.security_result.rule_name	Dipetakan dari log perubahan
Protocol	event.idm.read_only_udm.network.ip_protocol	Dipetakan dari log perubahan
ToZone	event.idm.read_only_udm.target.location.name	Dipetakan dari log perubahan
SourceAddress	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
SourceAddress	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
DestinationAddress	event.idm.read_only_udm.target.ip	Dipetakan dari log perubahan
DestinationAddress	event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
NATSource	event.idm.read_only_udm.principal.nat_ip	Dipetakan dari log perubahan
NATDestination	event.idm.read_only_udm.target.nat_ip	Dipetakan dari log perubahan
SourceUser	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
DestinationUser	event.idm.read_only_udm.target.user.userid	Dipetakan dari log perubahan
SourcePort	event.idm.read_only_udm.principal.port	Dipetakan dari log perubahan
DestinationPort	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
NATSourcePort	event.idm.read_only_udm.principal.nat_port	Dipetakan dari log perubahan
NATDestinationPort	event.idm.read_only_udm.target.nat_port	Dipetakan dari log perubahan
URL	event.idm.read_only_udm.target.url	Dipetakan dari log perubahan
DeviceSN	event.idm.read_only_udm.principal.asset.asset_id	Dipetakan dari log perubahan
FromZone	event.idm.read_only_udm.principal.location.name	Dipetakan dari log perubahan
DestinationLocation	event.idm.read_only_udm.target.location.country_or_region	Dipetakan dari log perubahan
X-Forwarded-For	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
SourceUserDomain	event.idm.read_only_udm.principal.administrative_domain	Dipetakan dari log perubahan
VendorName	event.idm.read_only_udm.metadata.vendor_name	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.