Palo Alto Prisma Access CASB ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Palo Alto Prisma Access CASB ログを Google Security Operations に取り込む方法について説明します。

Palo Alto Networks SaaS Security（別名: 次世代 CASB）は、Prisma Access と統合されたクラウド提供のクラウド アクセス セキュリティ ブローカーです。承認済みおよび未承認の SaaS アプリケーションの可視性と制御を提供し、データポリシー違反を検出し、ユーザー アクティビティをモニタリングし、クラウド サービス全体のリスクを軽減します。SaaS セキュリティの一部であるデータ セキュリティは、インシデント、ポリシー違反、修復アクティビティ、アクティビティ モニタリング、管理者監査イベント、行動脅威のログを生成します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Palo Alto Networks SaaS Security サービス間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Palo Alto Networks SaaS Security（データ セキュリティ）ライセンス、CASB-X ライセンス、または CASB-PA ライセンス
  • SaaS セキュリティ設定を構成する権限を持つ Strata Cloud Manager への管理者権限
  • Syslog サーバー上の有効な TLS 証明書（データ セキュリティでは、Syslog 接続に TLS が必要です）

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API（オプション 1）を使用します。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  tcplog:
    listen_address: "0.0.0.0:6514"
    tls:
      cert_file: '/opt/observiq-otel-collector/server.crt'
      key_file: '/opt/observiq-otel-collector/server.key'

exporters:
  chronicle/pan_casb:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: PAN_CASB
    raw_log_field: body
    ingestion_labels:
      vendor: palo_alto_networks
      product: saas_security_casb

service:
  pipelines:
    logs/pan_casb_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/pan_casb

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: ポート 6514（標準の syslog-over-TLS ポート）のすべてのインターフェースでリッスンするように 0.0.0.0:6514 に設定します。
    • cert_file: Bindplane エージェントの TLS 証明書ファイルのパス。
    • key_file: Bindplane エージェントの TLS 秘密鍵ファイルのパス。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps のお客様 ID。
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • log_type: PAN_CASB と完全に一致する必要があります。
    • ingestion_labels: ログを分類するためのオプションのラベル

以前の取り込み API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/pan_casb:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: PAN_CASB
    raw_log_field: body
    ingestion_labels:
      vendor: palo_alto_networks
      product: saas_security_casb

構成ファイルを保存する

編集が完了したら、ファイルを保存します。

  • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
  • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

Windows

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Palo Alto Networks SaaS Security の syslog 転送を構成する

SaaS Security データ セキュリティ ログを Bindplane エージェントに転送するには、Strata Cloud Manager で syslog レシーバーを構成します。

Bindplane エージェント ホストで TLS 証明書を準備する

データ セキュリティには、TLS で暗号化された syslog 接続が必要です。syslog レシーバーを構成する前に、Bindplane エージェント ホストで TLS 証明書を準備します。

  1. Bindplane エージェント ホストの TLS 証明書を自己署名または取得します。
  2. 証明書と秘密鍵ファイルを Bindplane エージェント ホスト（/opt/observiq-otel-collector/server.crt や /opt/observiq-otel-collector/server.key など）に配置します。
  3. Bindplane エージェント構成で、レシーバーの tls セクションでこれらのファイルが参照されていることを確認します。

Strata Cloud Manager で syslog レシーバを構成する

  1. Strata Cloud Manager にログインします。
  2. [Configuration] > [SaaS Security] > [Settings] > [Directory & External Services] > [External Services] に移動します。
  3. [Syslog/API クライアントを追加] をクリックします。
  4. [Syslog Receiver] を選択して、Syslog サーバー プロファイルを作成します。
  5. [名前] フィールドに、プロファイルのわかりやすい名前（例: Chronicle-Bindplane）を入力します。
  6. 次の構成情報を指定します。
    • サーバー IP: Bindplane エージェント ホストの IP アドレスを入力します。
    • ポート: 「6514」と入力します。
    • ファシリティ: syslog 標準値（LOG_USER など）を選択して、優先度（PRI）フィールドを計算します。値は LOG_USER または LOG_LOCAL0～LOG_LOCAL7 です。
    • メッセージ形式: [IETF] を選択します。

  7. [保存] をクリックして、syslog レシーバ構成を保存します。

syslog 転送を確認する

syslog レシーバ構成を保存すると、データ セキュリティ は次のログタイプを Bindplane エージェントに転送し始めます。

  • インシデント ログ
  • ポリシー違反ログ
  • 修復ログ
  • アクティビティ モニタリング ログ
  • 管理者監査ログ

  • 行動脅威ログ

詳細については、データ セキュリティで Syslog モニタリングを構成するとデータ セキュリティでの Syslog 統合をご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
Captive_Portal_label additional.fields 統合済み
ConfigVersion_label additional.fields 統合済み
InboundInterface_label additional.fields 統合済み
LogSetting_label additional.fields 統合済み
OutboundInterface_label additional.fields 統合済み
ProfileToken_label additional.fields 統合済み
SessionEndReason_label additional.fields 統合済み
SessionStartTime_label additional.fields 統合済み
SubType_label additional.fields 統合済み
Subtype_label additional.fields 統合済み
Tunnel_label additional.fields 統合済み
URLCategory_label additional.fields 統合済み
action_label additional.fields 統合済み
application_label additional.fields 統合済み
application_risk_label additional.fields 統合済み
application_technology additional.fields 統合済み
auth_method additional.fields 統合済み
bytes_label additional.fields 統合済み
connection_error additional.fields 統合済み
connection_error_id additional.fields 統合済み
content_version additional.fields 統合済み
count_of_repeats additional.fields 統合済み
device_sn additional.fields 統合済み
direction_of_attack additional.fields 統合済み
event_id_value additional.fields 統合済み
file_name additional.fields 統合済み
http2_connection additional.fields 統合済み
imsi additional.fields 統合済み
inbound_interface additional.fields 統合済み
log_setting additional.fields 統合済み
log_subtype additional.fields 統合済み
logtype additional.fields 統合済み
message additional.fields マッピングされた値（合計 12 個、例: LEEF: → application_risk_label、LEEF: → bytes_label、`...
outbound_interface additional.fields 統合済み
packet_id additional.fields 統合済み
parent_session_id additional.fields 統合済み
partial_hash additional.fields 統合済み
repeat_count additional.fields 統合済み
sequence_no additional.fields 統合済み
session_id additional.fields 統合済み
subtype additional.fields 統合済み
time_generated_high_resolution additional.fields 統合済み
totalPackets_label additional.fields 統合済み
tunnel additional.fields 統合済み
url_category additional.fields 統合済み
urlcategorylist additional.fields 統合済み
virtual_location additional.fields 統合済み
virtual_system additional.fields 統合済み
virtual_system_id additional.fields 統合済み
vs_label additional.fields 統合済み
column3 extensions.auth.type マッピング済み: USERID → PHYSICAL
column4 extensions.auth.type マッピング: login → PHYSICAL
column10 intermediary.hostname 直接マッピングされます。
column16 intermediary.hostname 直接マッピングされます。
event_data.EventDescription metadata.description 直接マッピングされます。
hostname metadata.description 直接マッピングされます。
msg.policyName metadata.description 直接マッピングされます。
policyName metadata.description 直接マッピングされます。
TimeReceived metadata.event_timestamp ISO8601 として解析
event_data.EventTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSSSSZ として解析済み
event_data.TimeGenerated metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSSSSZ として解析
event_type metadata.event_type 直接マッピングされます。
has_principal metadata.event_type マッピング: true → NETWORK_CONNECTION、true → STATUS_UPDATE
message metadata.event_type マッピング: LEEF: → GENERIC_EVENT
ActionSource metadata.product_event_type 直接マッピングされます。
LogType metadata.product_event_type 直接マッピングされます。
SubType metadata.product_event_type 直接マッピングされます。
Subtype metadata.product_event_type 直接マッピングされます。
column3 metadata.product_event_type 直接マッピングされます。
event_data.EventName metadata.product_event_type 直接マッピングされます。
msg.reason metadata.product_event_type 直接マッピングされます。
reason metadata.product_event_type 直接マッピングされます。
SequenceNo metadata.product_log_id 直接マッピングされます。
alertId metadata.product_log_id 直接マッピングされます。
msg.alertId metadata.product_log_id 直接マッピングされます。
message metadata.product_name マッピング済み: LEEF: → CASB
column5 metadata.product_version 直接マッピングされます。
device_version metadata.product_version 直接マッピングされます。
event_data.GlobalProtectClientVersion metadata.product_version 直接マッピングされます。
callbackUrl metadata.url_back_to_product 直接マッピングされます。
msg.callbackUrl metadata.url_back_to_product 直接マッピングされます。
VendorName metadata.vendor_name 直接マッピングされます。
message metadata.vendor_name マッピング: LEEF: → Palo Alto Networks
column3 network.application_protocol マッピング済み: THREAT → TCP
has_principal network.application_protocol マッピング: true → TCP
proto network.application_protocol 直接マッピングされます。
Protocol network.ip_protocol 直接マッピングされます。
column27 network.ip_protocol マッピング: tcp → TCP
column3 network.ip_protocol マッピング: TRAFFIC → TCP、THREAT → TCP
event_data.Protocol network.ip_protocol 直接マッピングされます。
proto network.ip_protocol 直接マッピングされます。
message network.received_bytes マッピング: LEEF: → uinteger
srcBytes network.received_bytes 直接マッピングされます。
srcPackets network.received_packets 直接マッピングされます。
dstBytes network.sent_bytes 直接マッピングされます。
message network.sent_bytes マッピング: LEEF: → uinteger
dstPackets network.sent_packets 直接マッピングされます。
SessionDuration network.session_duration.seconds 名前変更済み/マッピング済み
SessionID network.session_id 直接マッピングされます。
column21 network.session_id column3 == THREAT の場合にマッピングされます
event_data.SessionID network.session_id 直接マッピングされます。
SourceUserDomain principal.administrative_domain 直接マッピングされます。
DeviceSN principal.asset.asset_id 直接マッピングされます。
DeviceName principal.asset.hostname 直接マッピングされます。
event_data.DeviceName principal.asset.hostname 直接マッピングされます。
SourceAddress principal.asset.ip 統合済み
column3 principal.asset.ip マッピング済み: USERID → ip、TRAFFIC → ip、THREAT → ip
event_data.PublicIPv4 principal.asset.ip 統合済み
event_data.SourceAddress principal.asset.ip 統合済み
ip principal.asset.ip 統合済み
column3 principal.asset.nat_ip マッピング済み: TRAFFIC → ip、THREAT → ip
ip principal.asset.nat_ip 統合済み
FileType principal.file.mime_type 直接マッピングされます。
FileName principal.file.names 統合済み
DeviceName principal.hostname 直接マッピングされます。
event_data.DeviceName principal.hostname 直接マッピングされます。
host principal.hostname 直接マッピングされます。
SourceAddress principal.ip 統合済み
column3 principal.ip マッピング済み: USERID → ip、TRAFFIC → ip、THREAT → ip
event_data.PublicIPv4 principal.ip 統合済み
event_data.SourceAddress principal.ip 統合済み
ip principal.ip 統合済み
message principal.ip マッピング済み: LEEF: → ip、LEEF: → src
src principal.ip 統合済み
SourceLocation principal.location.country_or_region 直接マッピングされます。
column35 principal.location.country_or_region 直接マッピングされます。
event_data.SourceRegion principal.location.country_or_region 直接マッピングされます。
FromZone principal.location.name 直接マッピングされます。
event_data.FromZone principal.location.name 直接マッピングされます。
event_data.HostID principal.mac 統合済み
NATSource principal.nat_ip 統合済み
column3 principal.nat_ip マッピング済み: TRAFFIC → ip、THREAT → ip
event_data.NATSource principal.nat_ip 統合済み
ip principal.nat_ip 統合済み
NATSourcePort principal.nat_port 直接マッピングされます。
column25 principal.nat_port 直接マッピングされます。
event_data.NATSourcePort principal.nat_port 直接マッピングされます。
EndpointOSType principal.platform 直接マッピングされます。
event_data.EndpointOSVersion principal.platform_version 直接マッピングされます。
SourcePort principal.port 直接マッピングされます。
column13 principal.port 直接マッピングされます。
column23 principal.port 直接マッピングされます。
event_data.SourcePort principal.port 直接マッピングされます。
srcPort principal.port 直接マッピングされます。
application_Subcategory principal.resource.attribute.labels 統合済み
application_category principal.resource.attribute.labels 統合済み
cloudhostname principal.resource.attribute.labels 統合済み
cortexdatalaketenantid principal.resource.attribute.labels 統合済み
flowtype principal.resource.attribute.labels 統合済み
inboundinterfacedetailstype principal.resource.attribute.labels 統合済み
log_source_id principal.resource.attribute.labels 統合済み
log_source_name principal.resource.attribute.labels 統合済み
log_type principal.resource.attribute.labels 統合済み
logsource principal.resource.attribute.labels 統合済み
outboundinterfacedetailstype principal.resource.attribute.labels 統合済み
panorama_sn principal.resource.attribute.labels 統合済み
platform_type principal.resource.attribute.labels 統合済み
source_label principal.resource.attribute.labels 統合済み
source_location principal.resource.attribute.labels 統合済み
column4 principal.resource.type 直接マッピングされます。
column2 principal.user.product_object_id 直接マッピングされます。
SourceUser principal.user.userid 直接マッピングされます。
SourceUserName principal.user.userid 直接マッピングされます。
column12 principal.user.userid 直接マッピングされます。
usrName principal.user.userid 直接マッピングされます。
message security_result マッピング済み: LEEF: → security_result
sec_result security_result 統合済み
action security_result.action 統合済み
action_value security_result.action_details 直接マッピングされます。
cat security_result.category_details 統合済み
column3 security_result.category_details マッピング済み: THREAT → column94、THREAT → column97、THREAT → column98
column94 security_result.category_details 統合済み
column97 security_result.category_details 統合済み
column98 security_result.category_details 統合済み
message security_result.category_details マッピング: LEEF: → cat
msg.policyDescription security_result.description 直接マッピングされます。
policyDescription security_result.description 直接マッピングされます。
DGHierarchyLevel1_label security_result.detection_fields 統合済み
DGHierarchyLevel2_label security_result.detection_fields 統合済み
DGHierarchyLevel3_label security_result.detection_fields 統合済み
DGHierarchyLevel4_label security_result.detection_fields 統合済み
action_label security_result.detection_fields 統合済み
alert_status security_result.detection_fields 統合済み
eventstatus_label security_result.detection_fields 統合済み
policy_id security_result.detection_fields 統合済み
policy_recommendation security_result.detection_fields 統合済み
policy_type security_result.detection_fields 統合済み
portal_label security_result.detection_fields 統合済み
stage_label security_result.detection_fields 統合済み
threat_category security_result.detection_fields 統合済み
RuleUUID security_result.rule_id 直接マッピングされます。
alertRuleId security_result.rule_id 直接マッピングされます。
column61 security_result.rule_id 直接マッピングされます。
event_data.RuleUUID security_result.rule_id 直接マッピングされます。
msg.alertRuleId security_result.rule_id 直接マッピングされます。
Rule security_result.rule_name 直接マッピングされます。
alertRuleName security_result.rule_name 直接マッピングされます。
column11 security_result.rule_name 直接マッピングされます。
event_data.Rule security_result.rule_name 直接マッピングされます。
msg.alertRuleName security_result.rule_name 直接マッピングされます。
Severity security_result.severity 直接マッピングされます。
column3 security_result.severity マッピング: THREAT → INFORMATIONAL
column31 security_result.severity マッピング: Informational → INFORMATIONAL
msg.severity security_result.severity 直接マッピングされます。
severity security_result.severity 直接マッピングされます。
ThreatNameFirewall security_result.threat_name 直接マッピングされます。
Application target.application 直接マッピングされます。
TunneledApplication target.application 直接マッピングされます。
column13 target.asset.hostname 直接マッピングされます。
DestinationAddress target.asset.ip 統合済み
column3 target.asset.ip マッピング済み: TRAFFIC → ip、THREAT → ip
dest_ip target.asset.ip 統合済み
event_data.DestinationAddress target.asset.ip 統合済み
ip target.asset.ip 統合済み
column3 target.asset.nat_ip マッピング済み: TRAFFIC → ip、THREAT → ip
ip target.asset.nat_ip 統合済み
accountId target.hostname 直接マッピングされます。
column13 target.hostname 直接マッピングされます。
msg.accountId target.hostname 直接マッピングされます。
DestinationAddress target.ip 統合済み
column3 target.ip マッピング済み: TRAFFIC → ip、THREAT → ip
dest_ip target.ip 統合済み
dst target.ip 統合済み
event_data.DestinationAddress target.ip 統合済み
ip target.ip 統合済み
message target.ip マッピング済み: LEEF: → dst
network_ip target.ip 統合済み
DestinationLocation target.location.country_or_region 直接マッピングされます。
Location target.location.country_or_region 直接マッピングされます。
event_data.DestinationLocation target.location.country_or_region 直接マッピングされます。
msg.resourceRegionId target.location.country_or_region 直接マッピングされます。
resourceRegionId target.location.country_or_region 直接マッピングされます。
ToZone target.location.name 直接マッピングされます。
event_data.ToZone target.location.name 直接マッピングされます。
network_mac target.mac 統合済み
NATDestination target.nat_ip 統合済み
column3 target.nat_ip マッピング済み: TRAFFIC → ip、THREAT → ip
event_data.NATDestination target.nat_ip 統合済み
ip target.nat_ip 統合済み
NATDestinationPort target.nat_port 直接マッピングされます。
column26 target.nat_port 直接マッピングされます。
event_data.NATDestinationPort target.nat_port 直接マッピングされます。
DestinationPort target.port 直接マッピングされます。
column24 target.port 直接マッピングされます。
dstPort target.port 直接マッピングされます。
event_data.DestinationPort target.port 直接マッピングされます。
cloudType target.resource.attribute.cloud.environment マッピング済み: gcp → GOOGLE_CLOUD_PLATFORM、aws → AMAZON_WEB_SERVICES、azure → `MICROSOFT...
accountName target.resource.attribute.cloud.project.id 直接マッピングされます。
msg.accountName target.resource.attribute.cloud.project.id 直接マッピングされます。
networkInterfaceId target.resource.attribute.labels 統合済み
privateDnsName target.resource.attribute.labels 統合済み
publicDnsName target.resource.attribute.labels 統合済み
resource_type_label target.resource.attribute.labels 統合済み
subnetId target.resource.attribute.labels 統合済み
tag_label target.resource.attribute.labels 統合済み
vpcId target.resource.attribute.labels 統合済み
msg.resourceName target.resource.name 直接マッピングされます。
resourceName target.resource.name 直接マッピングされます。
msg.resourceId target.resource.product_object_id 直接マッピングされます。
resourceId target.resource.product_object_id 直接マッピングされます。
URL target.url 直接マッピングされます。
URLDomain target.url 直接マッピングされます。
column29 target.url 直接マッピングされます。
resource.data.securityGroups.0.groupId target.user.group_identifiers 統合済み
resource.data.securityGroups.0.groupName target.user.group_identifiers 統合済み
DestinationUser target.user.user_display_name 直接マッピングされます。
DestinationUser target.user.userid 直接マッピングされます。
column9 target.user.userid 直接マッピングされます。
なし metadata.event_type 定数: USER_RESOURCE_ACCESS
なし metadata.product_name 定数: CASB
なし metadata.vendor_name 定数: Palo Alto Networks
なし network.application_protocol 定数: TCP
なし security_result.severity 定数: INFORMATIONAL
なし target.resource.attribute.cloud.environment 定数: GOOGLE_CLOUD_PLATFORM
column6 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column7 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column9 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column10 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column13 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column21 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column24 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column27 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column31 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column32 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column33 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column34 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column35 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column36 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column37 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column38 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column39 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column41 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column42 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column43 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column44 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
column3 event.idm.read_only_udm.metadata.product_event_type 変更履歴からマッピング
column8 event.idm.read_only_udm.metadata.product_log_id 変更履歴からマッピング
column5 event.idm.read_only_udm.metadata.product_version 変更履歴からマッピング
column30 event.idm.read_only_udm.network.session_duration.seconds 変更履歴からマッピング
column11 event.idm.read_only_udm.network.tls.next_protocol 変更履歴からマッピング
column46 event.idm.read_only_udm.observer.hostname と event.idm.read_only_udm.observer.asset.hostname 変更履歴からマッピング
column45 event.idm.read_only_udm.observer.resource.name 変更履歴からマッピング
column47 event.idm.read_only_udm.observer.resource.product_object_id 変更履歴からマッピング
column19 event.idm.read_only_udm.principal.asset.asset_id 変更履歴からマッピング
column20 event.idm.read_only_udm.principal.asset.hardware.serial_number 変更履歴からマッピング
column14 event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
column15 event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
column16 event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
column17 event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
column18 event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
column13 event.idm.read_only_udm.principal.location.country_or_region 変更履歴からマッピング
column22 event.idm.read_only_udm.principal.platform 変更履歴からマッピング
column23 event.idm.read_only_udm.principal.platform_version 変更履歴からマッピング
column4 event.idm.read_only_udm.principal.resource.name 変更履歴からマッピング
column2 event.idm.read_only_udm.principal.user.product_object_id 変更履歴からマッピング
column12 event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
column25 event.idm.read_only_udm.security_result.description 変更履歴からマッピング
column26 event.idm.read_only_udm.security_result.summary 変更履歴からマッピング
column40 event.idm.read_only_udm.target.hostname と event.idm.read_only_udm.target.asset.hostname 変更履歴からマッピング
column29 event.idm.read_only_udm.target.location.country_or_region 変更履歴からマッピング
timestamp event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
VirtualSystemID event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ApplicationTechnology event.idm.read_only_udm.additional.fields 変更履歴からマッピング
LogType event.idm.read_only_udm.metadata.product_event_type 変更履歴からマッピング
Subtype event.idm.read_only_udm.metadata.product_event_type 変更履歴からマッピング
Subtype event.idm.read_only_udm.additional.fields 変更履歴からマッピング
action_value event.idm.read_only_udm.security_result.action_details 変更履歴からマッピング
ThreatNameFirewall event.idm.read_only_udm.security_result.threat_name 変更履歴からマッピング
SessionID event.idm.read_only_udm.network.session_id 変更履歴からマッピング
DeviceName event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
DeviceName event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
Location event.idm.read_only_udm.target.location.country_or_region 変更履歴からマッピング
TunneledApplication event.idm.read_only_udm.target.application 変更履歴からマッピング
URLDomain event.idm.read_only_udm.target.url 変更履歴からマッピング
SourceUserName event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
action event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
column35 event.idm.read_only_udm.principal.location.country_or_region 変更履歴からマッピング
column61 event.idm.read_only_udm.security_result.rule_id 変更履歴からマッピング
column94 event.idm.read_only_udm.security_result.category_details 変更履歴からマッピング
column97 event.idm.read_only_udm.security_result.category_details 変更履歴からマッピング
column98 event.idm.read_only_udm.security_result.category_details 変更履歴からマッピング
column21 event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id 変更履歴からマッピング
ThreatCategory event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
SubType event.idm.read_only_udm.metadata.product_event_type 変更履歴からマッピング
FileName event.idm.read_only_udm.principal.file.names 変更履歴からマッピング
FileType event.idm.read_only_udm.principal.file.mime_type 変更履歴からマッピング
LogType event.idm.read_only_udm.additional.fields 変更履歴からマッピング
HTTP2Connection event.idm.read_only_udm.additional.fields 変更履歴からマッピング
LogSetting event.idm.read_only_udm.additional.fields 変更履歴からマッピング
InboundInterface event.idm.read_only_udm.additional.fields 変更履歴からマッピング
OutboundInterface event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Application event.idm.read_only_udm.additional.fields 変更履歴からマッピング
VirtualLocation event.idm.read_only_udm.additional.fields 変更履歴からマッピング
CaptivePortal event.idm.read_only_udm.additional.fields 変更履歴からマッピング
URLCategoryList event.idm.read_only_udm.additional.fields 変更履歴からマッピング
SessionID event.idm.read_only_udm.additional.fields 変更履歴からマッピング
RepeatCount event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ConfigVersion event.idm.read_only_udm.additional.fields 変更履歴からマッピング
URLCategory event.idm.read_only_udm.additional.fields 変更履歴からマッピング
DirectionOfAttack event.idm.read_only_udm.additional.fields 変更履歴からマッピング
SequenceNo event.idm.read_only_udm.additional.fields 変更履歴からマッピング
PacketID event.idm.read_only_udm.additional.fields 変更履歴からマッピング
DestinationAddress event.idm.read_only_udm.additional.fields 変更履歴からマッピング
VirtualSystemName event.idm.read_only_udm.additional.fields 変更履歴からマッピング
IMSI event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ParentSessionID event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Tunnel event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ApplicationRisk event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ContentVersion event.idm.read_only_udm.additional.fields 変更履歴からマッピング
TimeGeneratedHighResolution event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ApplicationCategory event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
ApplicationSubcategory event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
LogType event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
SourceLocation event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
CloudHostname event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
CortexDataLakeTenantID event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
FlowType event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
InboundInterfaceDetailsType event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
LogSource event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
OutboundInterfaceDetailsType event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
PanoramaSN event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
PlatformType event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
Action event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DGHierarchyLevel1 event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DGHierarchyLevel2 event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DGHierarchyLevel3 event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DGHierarchyLevel4 event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
Severity event.idm.read_only_udm.security_result.severity 変更履歴からマッピング
RuleUUID event.idm.read_only_udm.security_result.rule_id 変更履歴からマッピング
Rule event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
Protocol event.idm.read_only_udm.network.ip_protocol 変更履歴からマッピング
ToZone event.idm.read_only_udm.target.location.name 変更履歴からマッピング
SourceAddress event.idm.read_only_udm.principal.ip 変更履歴からマッピング
SourceAddress event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
DestinationAddress event.idm.read_only_udm.target.ip 変更履歴からマッピング
DestinationAddress event.idm.read_only_udm.target.asset.ip 変更履歴からマッピング
NATSource event.idm.read_only_udm.principal.nat_ip 変更履歴からマッピング
NATDestination event.idm.read_only_udm.target.nat_ip 変更履歴からマッピング
SourceUser event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
DestinationUser event.idm.read_only_udm.target.user.userid 変更履歴からマッピング
SourcePort event.idm.read_only_udm.principal.port 変更履歴からマッピング
DestinationPort event.idm.read_only_udm.target.port 変更履歴からマッピング
NATSourcePort event.idm.read_only_udm.principal.nat_port 変更履歴からマッピング
NATDestinationPort event.idm.read_only_udm.target.nat_port 変更履歴からマッピング
URL event.idm.read_only_udm.target.url 変更履歴からマッピング
DeviceSN event.idm.read_only_udm.principal.asset.asset_id 変更履歴からマッピング
FromZone event.idm.read_only_udm.principal.location.name 変更履歴からマッピング
DestinationLocation event.idm.read_only_udm.target.location.country_or_region 変更履歴からマッピング
X-Forwarded-For event.idm.read_only_udm.principal.ip 変更履歴からマッピング
SourceUserDomain event.idm.read_only_udm.principal.administrative_domain 変更履歴からマッピング
VendorName event.idm.read_only_udm.metadata.vendor_name 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。