Raccogli i log CASB di Palo Alto Prisma Access

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log CASB di Palo Alto Prisma Access in Google Security Operations utilizzando l'agente Bindplane.

Palo Alto Networks SaaS Security (noto anche come CASB di nuova generazione) è un Cloud Access Security Broker fornito tramite cloud e integrato con Prisma Access. Fornisce visibilità e controllo sulle applicazioni SaaS autorizzate e non autorizzate, rileva le violazioni delle policy sui dati, monitora l'attività utente e rimedia ai rischi nei servizi cloud. La sicurezza dei dati, parte della sicurezza SaaS, genera log per incidenti, violazioni delle policy, attività di correzione, monitoraggio delle attività, eventi di audit degli amministratori e minacce comportamentali.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive o host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il servizio Palo Alto Networks SaaS Security
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Licenza Palo Alto Networks SaaS Security (Data Security), licenza CASB-X o licenza CASB-PA
• Accesso amministrativo a Strata Cloud Manager con autorizzazioni per configurare le impostazioni di SaaS Security
• Un certificato TLS valido sul server syslog (la sicurezza dei dati richiede TLS per le connessioni syslog)

Ottenere un file di autenticazione dell'acquisizione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Fai clic su Scarica per scaricare il file di autenticazione dell'acquisizione.

4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

   Nota: questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Ottenere un ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:6514"
      tls:
        cert_file: '/etc/bindplane-agent/server.crt'
        key_file: '/etc/bindplane-agent/server.key'
  
  exporters:
    chronicle/pan_casb:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PAN_CASB
      raw_log_field: body
      ingestion_labels:
        vendor: palo_alto_networks
        product: saas_security_casb
  
  service:
    pipelines:
      logs/pan_casb_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/pan_casb
  

  Nota :La sicurezza dei dati richiede TLS per le connessioni syslog. Devi configurare TLS sul ricevitore dell'agente Bindplane con un certificato valido. Se utilizzi un certificato autofirmato, imposta l'opzione TLS su peer-verify(optional-untrusted) sul lato del server syslog.

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del destinatario:

  • listen_address: imposta su 0.0.0.0:6514 per ascoltare su tutte le interfacce sulla porta 6514 (porta syslog-over-TLS standard).
  • cert_file: percorso del file del certificato TLS per l'agente Bindplane.
  • key_file: il percorso del file della chiave privata TLS per l'agente Bindplane.

• Configurazione dell'esportatore:

  • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: il tuo ID cliente Google SecOps.
  • endpoint: URL dell'endpoint regionale:
    • Stati Uniti: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Per l'elenco completo, consulta Endpoint regionali.
  • log_type: deve essere esattamente PAN_CASB
  • ingestion_labels: etichette facoltative per classificare i log

Salva il file di configurazione

Dopo la modifica, salva il file:

• Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
• Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

Linux

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per verificare la presenza di errori:

     sudo journalctl -u observiq-otel-collector -f
     

Windows

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurare l'inoltro di syslog di Palo Alto Networks SaaS Security

Per inoltrare i log di SaaS Security Data Security all'agente Bindplane, configura un ricevitore syslog in Strata Cloud Manager.

Prepara un certificato TLS sull'host dell'agente Bindplane

La sicurezza dei dati richiede connessioni syslog crittografate con TLS. Prima di configurare il ricevitore syslog, prepara il certificato TLS sull'host dell'agente Bindplane:

1. Firma in autonomia o ottieni un certificato TLS autofirmato per l'host dell'agente BindPlane.
2. Posiziona i file del certificato e della chiave privata sull'host dell'agente Bindplane (ad esempio, /etc/bindplane-agent/server.crt e /etc/bindplane-agent/server.key).
3. Assicurati che la configurazione dell'agente Bindplane faccia riferimento a questi file nella sezione tls del ricevitore.

Configura il ricevitore syslog in Strata Cloud Manager

1. Accedi a Strata Cloud Manager.
2. Vai a Configurazione > SaaS Security > Impostazioni > Directory e servizi esterni > Servizi esterni.
3. Fai clic su Aggiungi client Syslog/API.
4. Seleziona Syslog Receiver (Ricevitore syslog) per creare un profilo del server syslog.
5. Nel campo Nome, inserisci un nome descrittivo per il profilo (ad esempio Chronicle-Bindplane).
6. Fornisci i seguenti dettagli di configurazione:
   • IP server: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta: inserisci 6514.
   • Struttura: seleziona un valore standard syslog (ad esempio LOG_USER) per calcolare il campo Priorità (PRI). I valori possono essere LOG_USER o LOG_LOCAL0 fino a LOG_LOCAL7.
   • Formato messaggio: seleziona IETF.

7. Fai clic su Salva per salvare la configurazione del ricevitore syslog.

   Nota: La sicurezza dei dati supporta un solo ricevitore syslog alla volta. Se hai già configurato un ricevitore syslog, devi rimuoverlo prima di aggiungerne uno nuovo. Il protocollo TCP è obbligatorio per il trasporto affidabile. Il formato dei messaggi IETF è consigliato per le connessioni TCP e TLS.

Verifica l'inoltro di syslog

Dopo aver salvato la configurazione del ricevitore syslog, Sicurezza dei dati inizierà a inoltrare i seguenti tipi di log all'agente Bindplane:

• Log degli incidenti
• Log delle violazioni delle norme
• Log di correzione
• Log di monitoraggio dell'attività
• Log di controllo della Console di amministrazione

• Log delle minacce comportamentali

  Nota: i log vengono inoltrati in formato CSV (valori separati da virgole). Potrebbero essere necessari alcuni minuti prima che i log vengano visualizzati in Google SecOps dopo la configurazione.

Per saperne di più, consulta Configura il monitoraggio di Syslog in Sicurezza dei dati e Integrazione di Syslog in Sicurezza dei dati.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
Captive_Portal_label	additional.fields	Unita
ConfigVersion_label	additional.fields	Unita
InboundInterface_label	additional.fields	Unita
LogSetting_label	additional.fields	Unita
OutboundInterface_label	additional.fields	Unita
ProfileToken_label	additional.fields	Unita
SessionEndReason_label	additional.fields	Unita
SessionStartTime_label	additional.fields	Unita
SubType_label	additional.fields	Unita
Subtype_label	additional.fields	Unita
Tunnel_label	additional.fields	Unita
URLCategory_label	additional.fields	Unita
action_label	additional.fields	Unita
application_label	additional.fields	Unita
application_risk_label	additional.fields	Unita
application_technology	additional.fields	Unita
auth_method	additional.fields	Unita
bytes_label	additional.fields	Unita
connection_error	additional.fields	Unita
connection_error_id	additional.fields	Unita
content_version	additional.fields	Unita
count_of_repeats	additional.fields	Unita
device_sn	additional.fields	Unita
direction_of_attack	additional.fields	Unita
event_id_value	additional.fields	Unita
file_name	additional.fields	Unita
http2_connection	additional.fields	Unita
imsi	additional.fields	Unita
inbound_interface	additional.fields	Unita
log_setting	additional.fields	Unita
log_subtype	additional.fields	Unita
logtype	additional.fields	Unita
message	additional.fields	Valori mappati (12 in totale, ad es. LEEF: → application_risk_label, LEEF: → bytes_label, `…
outbound_interface	additional.fields	Unita
packet_id	additional.fields	Unita
parent_session_id	additional.fields	Unita
partial_hash	additional.fields	Unita
repeat_count	additional.fields	Unita
sequence_no	additional.fields	Unita
session_id	additional.fields	Unita
subtype	additional.fields	Unita
time_generated_high_resolution	additional.fields	Unita
totalPackets_label	additional.fields	Unita
tunnel	additional.fields	Unita
url_category	additional.fields	Unita
urlcategorylist	additional.fields	Unita
virtual_location	additional.fields	Unita
virtual_system	additional.fields	Unita
virtual_system_id	additional.fields	Unita
vs_label	additional.fields	Unita
column3	extensions.auth.type	Mappatura: USERID → PHYSICAL
column4	extensions.auth.type	Mappatura: login → PHYSICAL
column10	intermediary.hostname	Mappato direttamente
column16	intermediary.hostname	Mappato direttamente
event_data.EventDescription	metadata.description	Mappato direttamente
hostname	metadata.description	Mappato direttamente
msg.policyName	metadata.description	Mappato direttamente
policyName	metadata.description	Mappata direttamente
TimeReceived	metadata.event_timestamp	Analizzato come ISO8601
event_data.EventTime	metadata.event_timestamp	Analizzato come yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_data.TimeGenerated	metadata.event_timestamp	Analizzato come yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_type	metadata.event_type	Mappata direttamente
has_principal	metadata.event_type	Mappatura: true → NETWORK_CONNECTION, true → STATUS_UPDATE
message	metadata.event_type	Mappatura: LEEF: → GENERIC_EVENT
ActionSource	metadata.product_event_type	Mappato direttamente
LogType	metadata.product_event_type	Mappato direttamente
SubType	metadata.product_event_type	Mappato direttamente
Subtype	metadata.product_event_type	Mappato direttamente
column3	metadata.product_event_type	Mappato direttamente
event_data.EventName	metadata.product_event_type	Mappato direttamente
msg.reason	metadata.product_event_type	Mappato direttamente
reason	metadata.product_event_type	Mappato direttamente
SequenceNo	metadata.product_log_id	Mappato direttamente
alertId	metadata.product_log_id	Mappato direttamente
msg.alertId	metadata.product_log_id	Mappata direttamente
message	metadata.product_name	Mappatura: LEEF: → CASB
column5	metadata.product_version	Mappato direttamente
device_version	metadata.product_version	Mappato direttamente
event_data.GlobalProtectClientVersion	metadata.product_version	Mappato direttamente
callbackUrl	metadata.url_back_to_product	Mappato direttamente
msg.callbackUrl	metadata.url_back_to_product	Mappato direttamente
VendorName	metadata.vendor_name	Mappato direttamente
message	metadata.vendor_name	Mappato: LEEF: → Palo Alto Networks
column3	network.application_protocol	Mappato: THREAT → TCP
has_principal	network.application_protocol	Mappato: true → TCP
proto	network.application_protocol	Mappata direttamente
Protocol	network.ip_protocol	Mappata direttamente
column27	network.ip_protocol	Mappatura: tcp → TCP
column3	network.ip_protocol	Mappatura: TRAFFIC → TCP, THREAT → TCP
event_data.Protocol	network.ip_protocol	Mappata direttamente
proto	network.ip_protocol	Mappato direttamente
message	network.received_bytes	Mappato: LEEF: → uinteger
srcBytes	network.received_bytes	Mappato direttamente
srcPackets	network.received_packets	Mappato direttamente
dstBytes	network.sent_bytes	Mappato direttamente
message	network.sent_bytes	Mappato: LEEF: → uinteger
dstPackets	network.sent_packets	Mappato direttamente
SessionDuration	network.session_duration.seconds	Rinominate/mappate
SessionID	network.session_id	Mappata direttamente
column21	network.session_id	Mappatura quando column3 == THREAT
event_data.SessionID	network.session_id	Mappata direttamente
SourceUserDomain	principal.administrative_domain	Mappato direttamente
DeviceSN	principal.asset.asset_id	Mappato direttamente
DeviceName	principal.asset.hostname	Mappato direttamente
event_data.DeviceName	principal.asset.hostname	Mappato direttamente
SourceAddress	principal.asset.ip	Unita
column3	principal.asset.ip	Mapped: USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4	principal.asset.ip	Unita
event_data.SourceAddress	principal.asset.ip	Unita
ip	principal.asset.ip	Unita
column3	principal.asset.nat_ip	Mappato: TRAFFIC → ip, THREAT → ip
ip	principal.asset.nat_ip	Unita
FileType	principal.file.mime_type	Mappata direttamente
FileName	principal.file.names	Unita
DeviceName	principal.hostname	Mappata direttamente
event_data.DeviceName	principal.hostname	Mappato direttamente
host	principal.hostname	Mappato direttamente
SourceAddress	principal.ip	Unita
column3	principal.ip	Mapped: USERID → ip, TRAFFIC → ip, THREAT → ip
event_data.PublicIPv4	principal.ip	Unita
event_data.SourceAddress	principal.ip	Unita
ip	principal.ip	Unita
message	principal.ip	Mappatura: LEEF: → ip, LEEF: → src
src	principal.ip	Unita
SourceLocation	principal.location.country_or_region	Mappata direttamente
column35	principal.location.country_or_region	Mappato direttamente
event_data.SourceRegion	principal.location.country_or_region	Mappato direttamente
FromZone	principal.location.name	Mappato direttamente
event_data.FromZone	principal.location.name	Mappato direttamente
event_data.HostID	principal.mac	Unita
NATSource	principal.nat_ip	Unita
column3	principal.nat_ip	Mappato: TRAFFIC → ip, THREAT → ip
event_data.NATSource	principal.nat_ip	Unita
ip	principal.nat_ip	Unita
NATSourcePort	principal.nat_port	Mappata direttamente
column25	principal.nat_port	Mappato direttamente
event_data.NATSourcePort	principal.nat_port	Mappato direttamente
EndpointOSType	principal.platform	Mappato direttamente
event_data.EndpointOSVersion	principal.platform_version	Mappato direttamente
SourcePort	principal.port	Mappato direttamente
column13	principal.port	Mappato direttamente
column23	principal.port	Mappato direttamente
event_data.SourcePort	principal.port	Mappato direttamente
srcPort	principal.port	Mappato direttamente
application_Subcategory	principal.resource.attribute.labels	Unita
application_category	principal.resource.attribute.labels	Unita
cloudhostname	principal.resource.attribute.labels	Unita
cortexdatalaketenantid	principal.resource.attribute.labels	Unita
flowtype	principal.resource.attribute.labels	Unita
inboundinterfacedetailstype	principal.resource.attribute.labels	Unita
log_source_id	principal.resource.attribute.labels	Unita
log_source_name	principal.resource.attribute.labels	Unita
log_type	principal.resource.attribute.labels	Unita
logsource	principal.resource.attribute.labels	Unita
outboundinterfacedetailstype	principal.resource.attribute.labels	Unita
panorama_sn	principal.resource.attribute.labels	Unita
platform_type	principal.resource.attribute.labels	Unita
source_label	principal.resource.attribute.labels	Unita
source_location	principal.resource.attribute.labels	Unita
column4	principal.resource.type	Mappata direttamente
column2	principal.user.product_object_id	Mappato direttamente
SourceUser	principal.user.userid	Mappato direttamente
SourceUserName	principal.user.userid	Mappato direttamente
column12	principal.user.userid	Mappato direttamente
usrName	principal.user.userid	Mappata direttamente
message	security_result	Mappatura: LEEF: → security_result
sec_result	security_result	Unita
action	security_result.action	Unita
action_value	security_result.action_details	Mappata direttamente
cat	security_result.category_details	Unita
column3	security_result.category_details	Mappato: THREAT → column94, THREAT → column97, THREAT → column98
column94	security_result.category_details	Unita
column97	security_result.category_details	Unita
column98	security_result.category_details	Unita
message	security_result.category_details	Mappatura: LEEF: → cat
msg.policyDescription	security_result.description	Mappata direttamente
policyDescription	security_result.description	Mappato direttamente
DGHierarchyLevel1_label	security_result.detection_fields	Unita
DGHierarchyLevel2_label	security_result.detection_fields	Unita
DGHierarchyLevel3_label	security_result.detection_fields	Unita
DGHierarchyLevel4_label	security_result.detection_fields	Unita
action_label	security_result.detection_fields	Unita
alert_status	security_result.detection_fields	Unita
eventstatus_label	security_result.detection_fields	Unita
policy_id	security_result.detection_fields	Unita
policy_recommendation	security_result.detection_fields	Unita
policy_type	security_result.detection_fields	Unita
portal_label	security_result.detection_fields	Unita
stage_label	security_result.detection_fields	Unita
threat_category	security_result.detection_fields	Unita
RuleUUID	security_result.rule_id	Mappata direttamente
alertRuleId	security_result.rule_id	Mappato direttamente
column61	security_result.rule_id	Mappato direttamente
event_data.RuleUUID	security_result.rule_id	Mappato direttamente
msg.alertRuleId	security_result.rule_id	Mappato direttamente
Rule	security_result.rule_name	Mappato direttamente
alertRuleName	security_result.rule_name	Mappato direttamente
column11	security_result.rule_name	Mappato direttamente
event_data.Rule	security_result.rule_name	Mappato direttamente
msg.alertRuleName	security_result.rule_name	Mappato direttamente
Severity	security_result.severity	Mappata direttamente
column3	security_result.severity	Mappato: THREAT → INFORMATIONAL
column31	security_result.severity	Mappatura: Informational → INFORMATIONAL
msg.severity	security_result.severity	Mappata direttamente
severity	security_result.severity	Mappato direttamente
ThreatNameFirewall	security_result.threat_name	Mappato direttamente
Application	target.application	Mappato direttamente
TunneledApplication	target.application	Mappato direttamente
column13	target.asset.hostname	Mappato direttamente
DestinationAddress	target.asset.ip	Unita
column3	target.asset.ip	Mappato: TRAFFIC → ip, THREAT → ip
dest_ip	target.asset.ip	Unita
event_data.DestinationAddress	target.asset.ip	Unita
ip	target.asset.ip	Unita
column3	target.asset.nat_ip	Mappato: TRAFFIC → ip, THREAT → ip
ip	target.asset.nat_ip	Unita
accountId	target.hostname	Mappata direttamente
column13	target.hostname	Mappato direttamente
msg.accountId	target.hostname	Mappato direttamente
DestinationAddress	target.ip	Unita
column3	target.ip	Mappato: TRAFFIC → ip, THREAT → ip
dest_ip	target.ip	Unita
dst	target.ip	Unita
event_data.DestinationAddress	target.ip	Unita
ip	target.ip	Unita
message	target.ip	Mappatura: LEEF: → dst
network_ip	target.ip	Unita
DestinationLocation	target.location.country_or_region	Mappata direttamente
Location	target.location.country_or_region	Mappato direttamente
event_data.DestinationLocation	target.location.country_or_region	Mappato direttamente
msg.resourceRegionId	target.location.country_or_region	Mappato direttamente
resourceRegionId	target.location.country_or_region	Mappato direttamente
ToZone	target.location.name	Mappato direttamente
event_data.ToZone	target.location.name	Mappato direttamente
network_mac	target.mac	Unita
NATDestination	target.nat_ip	Unita
column3	target.nat_ip	Mappato: TRAFFIC → ip, THREAT → ip
event_data.NATDestination	target.nat_ip	Unita
ip	target.nat_ip	Unita
NATDestinationPort	target.nat_port	Mappata direttamente
column26	target.nat_port	Mappato direttamente
event_data.NATDestinationPort	target.nat_port	Mappato direttamente
DestinationPort	target.port	Mappato direttamente
column24	target.port	Mappato direttamente
dstPort	target.port	Mappato direttamente
event_data.DestinationPort	target.port	Mappata direttamente
cloudType	target.resource.attribute.cloud.environment	Mappato: gcp → GOOGLE_CLOUD_PLATFORM, aws → AMAZON_WEB_SERVICES, azure → `MICROSOFT…
accountName	target.resource.attribute.cloud.project.id	Mappata direttamente
msg.accountName	target.resource.attribute.cloud.project.id	Mappato direttamente
networkInterfaceId	target.resource.attribute.labels	Unita
privateDnsName	target.resource.attribute.labels	Unita
publicDnsName	target.resource.attribute.labels	Unita
resource_type_label	target.resource.attribute.labels	Unita
subnetId	target.resource.attribute.labels	Unita
tag_label	target.resource.attribute.labels	Unita
vpcId	target.resource.attribute.labels	Unita
msg.resourceName	target.resource.name	Mappata direttamente
resourceName	target.resource.name	Mappato direttamente
msg.resourceId	target.resource.product_object_id	Mappato direttamente
resourceId	target.resource.product_object_id	Mappato direttamente
URL	target.url	Mappato direttamente
URLDomain	target.url	Mappato direttamente
column29	target.url	Mappato direttamente
resource.data.securityGroups.0.groupId	target.user.group_identifiers	Unita
resource.data.securityGroups.0.groupName	target.user.group_identifiers	Unita
DestinationUser	target.user.user_display_name	Mappata direttamente
DestinationUser	target.user.userid	Mappato direttamente
column9	target.user.userid	Mappato direttamente
N/D	metadata.event_type	Costante: USER_RESOURCE_ACCESS
N/D	metadata.product_name	Costante: CASB
N/D	metadata.vendor_name	Costante: Palo Alto Networks
N/D	network.application_protocol	Costante: TCP
N/D	security_result.severity	Costante: INFORMATIONAL
N/D	target.resource.attribute.cloud.environment	Costante: GOOGLE_CLOUD_PLATFORM
column6	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column7	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column9	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column10	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column13	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column21	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column24	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column27	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column31	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column32	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column33	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column34	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column35	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column36	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column37	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column38	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column39	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column41	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column42	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column43	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column44	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column3	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
column8	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
column5	event.idm.read_only_udm.metadata.product_version	Mappato dal log delle modifiche
column30	event.idm.read_only_udm.network.session_duration.seconds	Mappato dal log delle modifiche
column11	event.idm.read_only_udm.network.tls.next_protocol	Mappato dal log delle modifiche
column46	event.idm.read_only_udm.observer.hostname e event.idm.read_only_udm.observer.asset.hostname	Mappato dal log delle modifiche
column45	event.idm.read_only_udm.observer.resource.name	Mappato dal log delle modifiche
column47	event.idm.read_only_udm.observer.resource.product_object_id	Mappato dal log delle modifiche
column19	event.idm.read_only_udm.principal.asset.asset_id	Mappato dal log delle modifiche
column20	event.idm.read_only_udm.principal.asset.hardware.serial_number	Mappato dal log delle modifiche
column14	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
column15	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column16	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column17	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column18	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column13	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
column22	event.idm.read_only_udm.principal.platform	Mappato dal log delle modifiche
column23	event.idm.read_only_udm.principal.platform_version	Mappato dal log delle modifiche
column4	event.idm.read_only_udm.principal.resource.name	Mappato dal log delle modifiche
column2	event.idm.read_only_udm.principal.user.product_object_id	Mappato dal log delle modifiche
column12	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
column25	event.idm.read_only_udm.security_result.description	Mappato dal log delle modifiche
column26	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
column40	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
column29	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
VirtualSystemID	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ApplicationTechnology	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
LogType	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
Subtype	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
Subtype	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
action_value	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
ThreatNameFirewall	event.idm.read_only_udm.security_result.threat_name	Mappato dal log delle modifiche
SessionID	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
DeviceName	event.idm.read_only_udm.principal.hostname	Mappato dal log delle modifiche
DeviceName	event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
Location	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
TunneledApplication	event.idm.read_only_udm.target.application	Mappato dal log delle modifiche
URLDomain	event.idm.read_only_udm.target.url	Mappato dal log delle modifiche
SourceUserName	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
action	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column35	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
column61	event.idm.read_only_udm.security_result.rule_id	Mappato dal log delle modifiche
column94	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
column97	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
column98	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
column21	event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
ThreatCategory	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
SubType	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
FileName	event.idm.read_only_udm.principal.file.names	Mappato dal log delle modifiche
FileType	event.idm.read_only_udm.principal.file.mime_type	Mappato dal log delle modifiche
LogType	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
HTTP2Connection	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
LogSetting	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
InboundInterface	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
OutboundInterface	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
Application	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
VirtualLocation	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
CaptivePortal	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
URLCategoryList	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
SessionID	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
RepeatCount	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ConfigVersion	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
URLCategory	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
DirectionOfAttack	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
SequenceNo	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
PacketID	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
DestinationAddress	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
VirtualSystemName	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
IMSI	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ParentSessionID	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
Tunnel	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ApplicationRisk	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ContentVersion	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
TimeGeneratedHighResolution	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ApplicationCategory	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
ApplicationSubcategory	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
LogType	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
SourceLocation	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
CloudHostname	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
CortexDataLakeTenantID	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
FlowType	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
InboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
LogSource	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
OutboundInterfaceDetailsType	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
PanoramaSN	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
PlatformType	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
Action	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
DGHierarchyLevel1	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
DGHierarchyLevel2	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
DGHierarchyLevel3	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
DGHierarchyLevel4	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
Severity	event.idm.read_only_udm.security_result.severity	Mappato dal log delle modifiche
RuleUUID	event.idm.read_only_udm.security_result.rule_id	Mappato dal log delle modifiche
Rule	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
Protocol	event.idm.read_only_udm.network.ip_protocol	Mappato dal log delle modifiche
ToZone	event.idm.read_only_udm.target.location.name	Mappato dal log delle modifiche
SourceAddress	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
SourceAddress	event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
DestinationAddress	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
DestinationAddress	event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
NATSource	event.idm.read_only_udm.principal.nat_ip	Mappato dal log delle modifiche
NATDestination	event.idm.read_only_udm.target.nat_ip	Mappato dal log delle modifiche
SourceUser	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
DestinationUser	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
SourcePort	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
DestinationPort	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
NATSourcePort	event.idm.read_only_udm.principal.nat_port	Mappato dal log delle modifiche
NATDestinationPort	event.idm.read_only_udm.target.nat_port	Mappato dal log delle modifiche
URL	event.idm.read_only_udm.target.url	Mappato dal log delle modifiche
DeviceSN	event.idm.read_only_udm.principal.asset.asset_id	Mappato dal log delle modifiche
FromZone	event.idm.read_only_udm.principal.location.name	Mappato dal log delle modifiche
DestinationLocation	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
X-Forwarded-For	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
SourceUserDomain	event.idm.read_only_udm.principal.administrative_domain	Mappato dal log delle modifiche
VendorName	event.idm.read_only_udm.metadata.vendor_name	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.