Collecter les journaux de pare-feu Palo Alto Networks

Compatible avec :

Google SecOps SIEM

Ce document explique comment configurer Google Security Operations pour ingérer les journaux de Palo Alto Networks à l'aide de deux méthodes de déploiement principales.

Sélectionnez la section suivante qui correspond à votre architecture :

• Pare-feu Palo Alto Networks
  • Description : collecte les journaux directement à partir des pare-feu PAN-OS.
  • Méthode d'ingestion : les journaux sont envoyés à l'aide de syslog à un redirecteur Google SecOps ou à un agent Bindplane. Comme le redirecteur Google SecOps est obsolète, utilisez l'agent Bindplane pour le transfert de journaux.
  • Formats acceptés : CSV, CEF et LEEF.
• Service de journalisation Strata du pare-feu Palo Alto Networks
  • Description : collecte les journaux du service Strata Logging Service dans le cloud.
  • Méthode d'ingestion : les journaux sont transférés directement vers Google SecOps à l'aide d'un webhook HTTPS. Aucun redirecteur local n'est requis pour cette méthode.
  • Formats acceptés : tableau JSON.

Pare-feu Palo Alto Networks

Présentation

Ce document explique comment configurer syslog et un redirecteur Google SecOps pour collecter les journaux de pare-feu Palo Alto Networks. Ce document explique également comment les champs des journaux du pare-feu Palo Alto Networks sont mappés aux champs du modèle de données unifié (UDM) de Google SecOps. Pour en savoir plus sur l'ingestion de données dans Google SecOps, consultez Ingestion de données dans Google SecOps. Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations contenues dans ce document s'appliquent à l'analyseur avec l'étiquette d'ingestion PAN_FIREWALL.

Avant de commencer

• Assurez-vous que le produit de pare-feu Palo Alto Networks est correctement déployé et configuré. Pour obtenir des instructions de configuration détaillées, consultez la documentation PAN-OS.

• Pour comprendre les composants déployés pour collecter les journaux de pare-feu Palo Alto Networks, consultez l'architecture de déploiement. Chaque déploiement client peut différer de cette représentation et être plus complexe. Le schéma suivant montre comment configurer syslog sur un pare-feu Palo Alto Networks et installer un redirecteur Google SecOps sur un serveur Linux pour transférer les données de journaux vers Google SecOps. L'analyseur accepte les journaux écrits dans les formats de données suivants : valeurs séparées par une virgule (CSV), Common Event Format (CEF) et Log Event Extended Format (LEEF).

  

• Vérifiez les formats de journaux et les versions de PAN-OS compatibles avec l'analyseur Google SecOps. Le tableau suivant liste les formats de journaux et les versions de PAN-OS correspondantes compatibles avec l'analyseur Google SecOps :

  Format de journal	Version de PAN-OS
  CSV	10.1.3
  CEF	10.0.0
  LEEF	9.1.0

• Vérifiez les types de journaux de pare-feu Palo Alto Networks compatibles avec l'analyseur Google SecOps. L'analyseur Google SecOps est compatible avec les types de journaux de pare-feu Palo Alto Networks suivants :

  • Trafic
  • Menace
  • Envois WildFire
  • Inspection de tunnels
  • Configuration
  • Système
  • Correspondance HIP
  • IP-Tag
  • User-ID
  • Déchiffrement
  • Authentification
  • Filtrage des URL
  • Filtrage des données
  • GlobalProtect
  • Corrélation
  • GTP
  • SCTP
  • Audit

  Pour en savoir plus sur les types de journaux de pare-feu Palo Alto Networks, consultez Types de journaux PAN-OS.

• Assurez-vous que tous les systèmes de l'architecture de déploiement sont configurés dans le fuseau horaire UTC.

• Avant d'utiliser l'analyseur de pare-feu Palo Alto Networks, examinez les modifications apportées aux mappages de champs entre l'analyseur précédent et l'analyseur de pare-feu Palo Alto Networks actuel. Lors de la migration, assurez-vous que les règles, les recherches, les tableaux de bord ou les autres processus qui dépendent des champs d'origine utilisent les champs mis à jour.

  Par exemple, dans la version précédente de l'analyseur, le champ de journal category est mappé au champ UDM security_result.description. Dans l'analyseur de pare-feu Palo Alto Networks actuel, le champ de journal category est mappé au champ UDM security_result.category_details. Si vous migrez vers l'analyseur de pare-feu Palo Alto Networks actuel et que vous utilisez le champ category dans vos règles, vous devez modifier les règles pour utiliser le champ UDM security_result.category_details de l'analyseur actuel.

Configurer syslog et le redirecteur Google Security Operations

Pour configurer syslog et le redirecteur Google SecOps, procédez comme suit :

1. Pour surveiller les journaux CSV, configurez le profil du serveur syslog. Pour en savoir plus, consultez Configurer le profil du serveur syslog. Lorsque vous configurez le profil du serveur syslog, spécifiez "Default" comme format de journal personnalisé.
2. Pour surveiller les journaux CEF, configurez le pare-feu Palo Alto Networks pour qu'il transfère les journaux CEF. Pour en savoir plus, téléchargez le guide d'intégration PAN-OS CEF au format PDF et consultez la section "Configuration of Palo Alto Networks NGFW to output CEF events" (Configuration du NGFW Palo Alto Networks pour générer des événements CEF).
3. Pour surveiller les journaux LEEF, configurez le profil du serveur syslog. Pour en savoir plus, consultez Transfert de journaux personnalisé au format LEEF.

4. Configurez le redirecteur Google SecOps pour envoyer des journaux à Google Security Operations. Pour en savoir plus, consultez Installer et configurer le redirecteur sur Linux. Voici un exemple de configuration de redirecteur Google SecOps :

     - syslog:
         common:
           enabled: true
           data_type: PAN_FIREWALL
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         tcp_address: 0.0.0.0:10518
         connection_timeout_sec: 60
   

Configurer le transfert syslog sur le pare-feu PAN

Créer un profil de serveur Syslog

1. Connectez-vous à la console de gestion du pare-feu Palo Alto Networks.
2. Accédez à Device > Server Profiles > Syslog (Appareil > Profils de serveur > Syslog).
3. Cliquez sur Ajouter pour créer un profil de serveur.
4. Fournissez les informations de configuration suivantes :
   • Nom : saisissez un nom descriptif (par exemple, Google SecOps BindPlane).
   • Emplacement : sélectionnez le système virtuel (vsys) ou Partagé où ce profil sera disponible.
5. Cliquez sur Servers > Add (Serveurs > Ajouter) pour configurer le serveur Syslog.
6. Fournissez les informations de configuration du serveur suivantes :
   • Nom : saisissez un nom descriptif pour le serveur (par exemple, BindPlane Agent).
   • Serveur Syslog : saisissez l'adresse IP de l'agent BindPlane.
   • Transport : sélectionnez UDP ou TCP, selon la configuration de votre agent BindPlane (UDP est sélectionné par défaut).
   • Port : saisissez le numéro de port de l'agent BindPlane (par exemple, 514).
   • Format : sélectionnez BSD (par défaut) ou IETF, selon vos besoins.
   • Facility : sélectionnez LOG_USER (par défaut) ou une autre fonctionnalité, si nécessaire.
7. Cliquez sur OK pour enregistrer le profil du serveur syslog.

Facultatif : Configurer un format de journal personnalisé pour CEF ou LEEF

Si vous avez besoin de journaux au format CEF (Common Event Format) ou LEEF (Log Event Extended Format) au lieu du format CSV :

1. Dans le profil du serveur Syslog, sélectionnez l'onglet Custom Log Format (Format de journal personnalisé).
2. Configurez le format de journal personnalisé pour chaque type de journal (Config, System, Threat, Traffic, URL, Data, WildFire, Tunnel, Authentication, User-ID, HIP Match).
3. Pour configurer le format CEF, consultez le guide de configuration CEF de Palo Alto Networks.
4. Cliquez sur OK pour enregistrer la configuration.

Remarque : Palo Alto Networks recommande PAN-OS 8.0.3 ou une version ultérieure pour les formats de journaux personnalisés CEF.

Créer un profil de transfert de journaux

1. Accédez à Objects > Log Forwarding (Objets > Transfert de journaux).
2. Cliquez sur Ajouter pour créer un profil de transfert de journaux.
3. Fournissez les informations de configuration suivantes :
   • Nom : saisissez un nom de profil (par exemple, Google SecOps Forwarding). Si vous souhaitez que le pare-feu attribue automatiquement ce profil aux nouvelles règles et zones de sécurité, nommez-le default.
4. Pour chaque type de journal que vous souhaitez transférer (Traffic, Threat, WildFire Submission, URL Filtering, Data Filtering, Tunnel, Authentication), configurez les éléments suivants :
   • Cliquez sur Ajouter dans la section du type de journal correspondant.
   • Syslog : sélectionnez le profil de serveur Syslog que vous avez créé (par exemple, Google SecOps BindPlane).
   • Gravité du journal : sélectionnez les niveaux de gravité à transférer (par exemple, Tous).
5. Cliquez sur OK pour enregistrer le profil de transfert des journaux.

Appliquer un profil de transfert de journaux aux stratégies de sécurité

1. Accédez à Règles > Sécurité.
2. Sélectionnez la ou les règles de sécurité pour lesquelles vous souhaitez activer le transfert de journaux.
3. Cliquez sur la règle pour la modifier.
4. Accédez à l'onglet Actions.
5. Dans le menu Log Forwarding (Transfert de journaux), sélectionnez le profil de transfert de journaux que vous avez créé (par exemple, Google SecOps Forwarding).
6. Cliquez sur OK pour enregistrer la configuration de la stratégie de sécurité.

Configurer les paramètres des journaux système

1. Accédez à Appareil > Paramètres des journaux.
2. Pour chaque type de journal (System, Configuration, User-ID, HIP Match, Global Protect, IP-Tag, SCTP) et niveau de gravité, sélectionnez le profil de serveur syslog que vous avez créé.
3. Cliquez sur OK pour enregistrer les paramètres de journalisation.

Effectuez un commit sur les modifications.

1. Cliquez sur Commit (Valider) en haut de l'interface Web du pare-feu.
2. Attendez que le commit se termine correctement.
3. Vérifiez que les journaux sont envoyés à l'agent BindPlane en consultant la console Google SecOps pour voir si des journaux de pare-feu Palo Alto Networks sont reçus.

Transférer des journaux vers Google SecOps à l'aide de l'agent BindPlane

1. Installer et configurer une machine virtuelle Linux
2. Installez et configurez l'agent Bindplane sur Linux pour transférer les journaux vers Google SecOps. Pour en savoir plus sur l'installation et la configuration de l'agent Bindplane, consultez les instructions d'installation et de configuration de l'agent Bindplane.

Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google SecOps.

Formats de journaux compatibles

L'analyseur de pare-feu Palo Alto Networks est compatible avec les journaux aux formats LEEF,CEF et CSV.

Exemples de journaux compatibles

• LEEF

  <14>Jan 22 02:20:19 device_host LEEF:1.0|Palo Alto Networks|PAN-OS Syslog Integration|10.2.12-h4|Microsoft MSOFFICE(52033)|ReceiveTime=2025/01/22 02:20:18|SerialNumber=01250100xxxx|cat=THREAT|Subtype=wildfire|devTime=Jan 22 2025 08:20:18 GMT|src=198.50.100.1|dst=198.50.100.2|srcPostNAT=198.50.100.3|dstPostNAT=198.50.100.4|RuleName=AZURE-US-NEW-CNF_Inbound_To_Azure-ALLOW|usrName=|SourceUser=|DestinationUser=|Application=smtp-base|VirtualSystem=vsys1|SourceZone=McD-Global-Zone|DestinationZone=Azure-Zone|IngressInterface=ae1.111|EgressInterface=ae2.409|LogForwardingProfile=Default-Traffic-Logging|SessionID=35331795|RepeatCount=1|srcPort=21578|dstPort=25|srcPostNATPort=0|dstPostNATPort=0|Flags=0x2000|proto=tcp|action=allow|Miscellaneous=\"......3...................xls\"|ThreatID=Microsoft MSOFFICE(52033)|URLCategory=malicious|sev=4|Severity=high|Direction=client-to-server|sequence=7462614601465681755|ActionFlags=0x8000000000000000|SourceLocation=198.50.100.1-198.50.100.255|DestinationLocation=United States|ContentType=|PCAP_ID=0|FileDigest=0ea04c99bf188c2e4207f60f92ca7c6f5088c7943ee63f45c50032bbd2bf7ea9|Cloud=demo.com|URLIndex=1|RequestMethod=|FileType=ms-office|Sender=[e-mail]|Subject=\"............:.................................................................................-.........(Name)-2025-01-22...............:Y107202501220005, ............:........................, ...............:.........\"|Recipient=[e-mail]|ReportID=117022282776|DeviceGroupHierarchyL1=143|DeviceGroupHierarchyL2=144|DeviceGroupHierarchyL3=39|DeviceGroupHierarchyL4=0|vSrcName=|DeviceName=device_host|SrcUUID=|DstUUID=|TunnelID=0|MonitorTag=|ParentSessionID=0|ParentStartTime=|TunnelType=N/A|ThreatCategory=N/A|ContentVer=WildFire-0
  

• CEF

  14>1 2024-04-04T16:21:56+02:00 FW-PERIMETRAL-AVG-01 - - - - CEF:0|Palo Alto Networks|PAN-OS|10.1.10-h2|end|TRAFFIC|1|src=198.51.100.1 dst=198.51.100.2 srcTranslatedAddress=198.51.100.3 dstTranslatedAddress=198.51.100.4 rule=FW_USER_NATS2_APP suser= duser= app=bittorrent vs=vsys1 sz=INSIDE dz=EXTERNAL InboundInterface=ae2.2266 OutboundInterface=ae1 lp=log_forwarding sid=2935823 cnt=1 spt=6881 dpt=51413 srcTranslatedPort=0 dstTranslatedPort=0 flags=0x7a proto=udp act=allow tbytes=475 in=150 out=325 pkt=2 pktReceived=1 pktSent=1 start=Apr 04 2024 14:21:56 GMT stime=1206 urlcat=any externalId=externalId reason=aged-out DGl1=11 DGl2=161 DGl3=0 DGl4=0 VsysName=STONESOFT dvchost=FW-PERIMETRAL-AVG-01 cat=from-policy ActionFlags=0x8000000000000000 srcUUID= dstUUID= TunnelID=0 MonitorTag= ParentSessionID=0 ParentStartTime= TunnelType=N/A SCTPAssocID=0 SCTPChunks=0 SCTPChunkSent=0 SCTPChunksRcv=0 RuleUUID=746c3eb6-3d51-4679-8438-bd0e00e170a8 HTTP2Con=0 LinkChange=0 PolicyID= LinkDetail= SDWANCluster= SDWANDevice= SDWANClustype= SDWANSite= DynamicUsrgrp= XFFIP= srcDevCat= srcDevProf= srcDevModel= srcDevVendor= srcDevOS= srcDevOSv= srcHostname= srcMac= dstDevCat= dstDevProf= dstDevModel= dstDevVendor= dstDevOS= dstDevOSv= dstHostname= dstMac= ContainerName= PODNamespace= PODName= srcEDL= dstEDL= GPHostID= EPSerial= srcDAG= dstDAG= HASessionOwner= TimeHighRes=2024-04-04T16:21:56.250+02:00 ASServiceType= ASServiceDiff="
  

• CSV

  1,2021/10/24 15:30:07,,CONFIG,0,2561,2021/10/24 15:30:07,198.51.100.0,,set,admin,Web,Succeeded, network virtual-router  VR1,,VR1  { ecmp { algorithm { ip-modulo ; } } protocol { bgp { routing-options { graceful-restart { enable yes; } } enable no; } rip { enable no; } ospf { enable no; } ospfv3 { enable no; } } routing-table { ip { static-route { vr1-log  { path-monitor { enable no; failure-condition any; hold-time 2; } nexthop { ip-address 198.51.100.0; } bfd { profile None; } interface ethernet1/1; metric 10; destination 0.0.0.0/0; route-table { unicast ; } } } } } interface [ ethernet1/1 ethernet1/2 ]; } ,7022390503849066572,0x0,0,0,0,0,,PA-VM,0,
  

Référence de mappage de champs : champs de journaux vers champs UDM

Cette section explique comment l'analyseur mappe les champs des journaux de pare-feu Palo Alto Networks aux champs d'événement UDM de Google SecOps pour chaque type de journal. La clé d'étiquette Google SecOps fait référence au nom de la clé mappée au champ UDM Labels.key.

Par exemple, dans le cas du champ "Virtual System", le nom du champ est "cs3" au format CEF et "VirtualSystem" au format LEEF. Le champ UDM "about.labels.key" contient la valeur "vsys" et le champ UDM "about.labels.value" contient la valeur de ce champ. Certains noms de champs CEF ou LEEF n'ont pas de nom correspondant aux noms de champs CSV. Dans ce cas, si vous ajoutez votre propre nom de variable au format de journal personnalisé dans le profil syslog, l'analyseur ne le mappera pas au champ UDM.

Reportez-vous aux sections suivantes pour obtenir la documentation de référence sur le mappage de chaque type de journal :

• Système
• Config
• Menace/Feu de forêt
• Trafic
• ID utilisateur
• Correspondance HIP
• Balise IP
• Déchiffrement
• Tunnel
• Authentification
• URL
• Données
• GlobalProtect
• Correlation
• GTP
• SCTP
• Audit

Obsolète :

Les champs labels suivants pour les noms UDM sont obsolètes : about.labels, intermediary.labels, observer.labels, principal.labels, src.labels, security_result.about.labels et target.labels. Pour les analyseurs existants, en plus de ces champs UDM, les champs de journaux sont également mappés aux champs UDM clé/valeur additional.fields. Pour les nouveaux analyseurs, les paramètres clé/valeur des champs UDM additional.fields sont utilisés à la place des champs UDM labels obsolètes. Nous vous recommandons de mettre à jour les règles existantes pour utiliser les paramètres clé/valeur dans les champs UDM additional.fields au lieu des champs UDM labels obsolètes.

Système

Le tableau suivant liste les champs du type de journal système et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		target.asset.hardware.serial_number intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type est défini sur "%{type} - %{subtype}".
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type est défini sur "%{type} - %{subtype}".
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Système virtuel (vsys)	cs3	VirtualSystem	vsys	target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
ID d'événement (eventid)	cat		eventid	additional.fields.key et additional.fields.value.string_value
Objet (objet)	fname	Nom de fichier	objet	target.resource.name
Module (module)	flexString2	Module	module	additional.fields.key et additional.fields.value.string_value
Gravité (severity)	$number-of-severity(header)	Gravité		security_result.severity et security_result.severity_details
Description (opaque)	Message	Message		metadata.description
	principal_user_userid (ce champ est extrait du champ "msg")			principal.user.userid
	principal_ip3 (ce champ est extrait du champ "msg")			principal.ip
	Motif (ce champ est extrait du champ "msg")			security_result.description
	server_address (ce champ est extrait du champ msg)			target.ip
	server_profile (ce champ est extrait du champ msg)			additional.fields.key et additional.fields.value.string_value
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1 à dg_hier_level_4)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		target.hostname intermediary.hostname
Code temporel haute résolution (high_res_timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value

Configuration

Le tableau suivant liste les champs de journal du type de journal "config" et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		target.asset.hardware.serial_number intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)			metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Hôte (host)	shost	src		principal.ip/hostname
Système virtuel (vsys)	cs3	VirtualSystem	vsys	target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Commande (cmd)	agir	Message	cmd	principal.process.command_line
Administrateur (admin)	duser	usrName		principal.user.userid
Client (client)	destinationServiceName	Client		principal.application
Résultat (result)	ID de signature (en-tête)(motif)	Résultat		security_result.summary
Chemin de configuration (path)	Message	ConfigurationPath		principal.process.command_line
Détail avant modification (before_change_detail)	cs1	BeforeChangeDetail	before_change_detail	target.resource.attribute.labels.key/value
Détails après modification (after_change_detail)	cs2	AfterChangeDetail	after_change_detail	target.resource.attribute.labels.key/value
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1 à dg_hier_level_4)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		target.hostname intermediary.hostname
Groupe d'appareils (dg_id)	PanOSFWDeviceGroup		dg_id	target.asset.attribute.labels.key/value
Audit Comment (comment)	PanOSPolicyAuditComment		commentaire	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res_timestamp)				additional.fields.key et additional.fields.value.string_value
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details

Threat/WildFire

Le tableau suivant liste les champs du type de journal Threat/WildFire et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	cat/subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Adresse source (src)	src	src		principal.ip
Adresse de destination (dst)	dst	dst		target.ip
Adresse IP source NAT (natsrc)	sourceTranslatedAddress	srcPostNAT		principal.nat_ip
Adresse IP de destination NAT (natdst)	destinationTranslatedAddress	dstPostNAT		target.nat_ip
Nom de la règle (rule)	cs1	RuleName		security_result.rule_name
Utilisateur source (srcuser)	suser	SourceUser / usrName		principal.user.userid
Utilisateur de destination (dstuser)	duser	DestinationUser		target.user.userid
Application (appli)	application	Application		target.application
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)	cs4	SourceZone	de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)	cs5	DestinationZone	à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)	deviceInboundInterface	IngressInterface	inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)	deviceOutboundInterface	EgressInterface	outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6	LogForwardingProfile	logset	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)	cn1	SessionID		network.session_id
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)	spt	srcPort		principal.port
Port de destination (dport)	dpt	dstPort		target.port
Port source NAT (natsport)	sourceTranslatedPort	srcPostNATPort		principal.nat_port
Port de destination NAT (natdport)	destinationTranslatedPort	dstPostNATPort		target.nat_port
Indicateurs (flags)	flexString1	Options	flags	additional.fields.key et additional.fields.value.string_value
Protocole IP (proto)	proto	proto		network.ip_protocol
Action (action)	agir	action		security_result.action_details security_result.action
URL/Nom de fichier (divers)	request	Autres		target.file.names (si le sous-type est "file", "virus", "wildfire-virus" ou "wildfire", le champ "misc" est mappé à target.file.names) target.url (si le sous-type est "url", le champ "misc" est mappé sur target.url et target.hostname)
Nom de la menace/du contenu (threatid)	cat	ThreatID		security_result.threat_name
Category (catégorie)	cs2	URLCategory		security_result.category_details
Gravité (severity)	number-of-severity(header)	Gravité		security_result.severity et security_result.severity_details
Direction (direction)	flexString2	Direction		network.direction
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Pays source (srcloc)		SourceLocation		principal.location.country_or_region
Pays de destination (dstloc)		DestinationLocation		target.location.country_or_region
Type de contenu (contenttype)		ContentType	contenttype	additional.fields.key et additional.fields.value.string_value
ID PCAP (pcap_id)	fileId	PCAP_ID	pcap_id	additional.fields.key et additional.fields.value.string_value
Condensé de fichier (filedigest)	fileHash	FileDigest		target.file.sha1/md5/sha256
Cloud (cloud)	filePath	Cloud	cloud	additional.fields.key et additional.fields.value.string_value
Index d'URL (url_idx)		URLIndex	url_idx	additional.fields.key et additional.fields.value.string_value
User-agent (user_agent)				network.http.user_agent
Type de fichier (filetype)	fileType	FileType		target.file.mime_type
X-Forwarded-For (xff)				principal.ip
URL de provenance (referer)				network.http.referral_url
Expéditeur (sender)	suid	Expéditeur		network.email.from
Subject (subject)	Message	Objet		network.email.subject
Destinataire (recipient)	duid	Destinataire		network.email.to
ID du rapport (reportid)	oldFileId	ReportID	reportid	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1 à dg_hier_level_4)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname intermediary.asset.hostname target.hostname target.asset.hostname
UUID de la VM source (src_uuid)	PanOSSrcUUID	SrcUUID		principal.asset.product_object_id
UUID de la VM de destination (dst_uuid)	PanOSDstUUID	DstUUID		target.asset.product_object_id
Méthode HTTP (http_method)		RequestMethod		network.http.method
ID du tunnel/IMSI (tunnel_id/imsi)	PanOSTunnelID	TunnelID	tunnel_id/imsi	additional.fields.key et additional.fields.value.string_value
Balise/IMEI du moniteur (monitortag/imei)	PanOSMonitorTag	MonitorTag	monitortag/imei	additional.fields.key et additional.fields.value.string_value
ID de session parent (parent_session_id)	PanOSParentSessionID	ParentSessionID	parent_session_id	network.parent_session_id
Heure de début de la session parente (parent_start_time)	PanOSParentStartTime	ParentStartTime	parent_start_time	additional.fields.key et additional.fields.value.string_value
Type de tunnel (tunnel)	PanOSTunnelType	TunnelType	tunnel	additional.fields.key et additional.fields.value.string_value
Catégorie de menace (thr_category)	PanOSThreatCategory	ThreatCategory	thr_category	security_result.detection_fields.key/value
Version du contenu (contentver)	PanOSContentVer	ContentVer	contentver	additional.fields.key et additional.fields.value.string_value
ID d'association SCTP (assoc_id)	PanOSAssocID		assoc_id	additional.fields.key et additional.fields.value.string_value
ID de protocole de charge utile (PPID)	PanOSPPID		ppid	additional.fields.key et additional.fields.value.string_value
En-têtes HTTP (http_headers)	PanOSHTTPHeader		http_headers	target.url.last_http_response_headers
Liste des catégories d'URL (url_category_list)	PanOSURLCatList		url_category_list	additional.fields.key et additional.fields.value.string_value
UUID de la règle (rule_uuid)	PanOSRuleUUID			security_result.rule_id
Connexion HTTP/2 (http2_connection)	PanOSHTTP2Con		http2_connection	network.application_protocol_version
Nom du groupe d'utilisateurs dynamique (dynusergroup_name)	PanDynamicUsrgrp		dynusergroup_name	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Adresse XFF (xff_ip)	PanXFFIP			principal.ip
Catégorie de l'appareil source (src_category)	PanSrcDeviceCat		src_category	principal.asset.category
Profil de l'appareil source (src_profile)	PanSrcDeviceProf		src_profile	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil source (src_model)	PanSrcDeviceModel		src_model	principal.asset.hardware.model
Fournisseur de l'appareil source (src_vendor)	PanSrcDeviceVendor		src_vendor	principal.asset.hardware.manufacturer
Famille d'OS de l'appareil source (src_osfamily)	PanSrcDeviceOS		src_osfamily	principal.platform
Version de l'OS de l'appareil source (src_osversion)	PanSrcDeviceOSv			principal.platform_version
Nom d'hôte source (src_host)	PanSrcHostname			principal.hostname
Adresse MAC source (src_mac)	PanSrcMac			principal.mac
Catégorie de l'appareil de destination (dst_category)	PanDstDeviceCat		dst_category	target.asset.category
Profil de l'appareil de destination (dst_profile)	PanDstDeviceProf		dst_profile	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil de destination (dst_model)	PanDstDeviceModel		dst_model	target.asset.hardware.model
Fournisseur de l'appareil de destination (dst_vendor)	PanDstDeviceVendor		dst_vendor	target.asset.hardware.manufacturer
Famille d'OS de l'appareil de destination (dst_osfamily)	PanDstDeviceOS		dst_osfamily	target.platform
Version de l'OS de l'appareil de destination (dst_osversion)	PanDstDeviceOSv			target.platform_version
Nom d'hôte de destination (dst_host)	PanDstHostname			target.hostname
Adresse MAC de destination (dst_mac)	PanDstMac			target.mac
ID du conteneur (container_id)	PanContainerName		container_id	intermediary.resource.product_object_id
Espace de noms du pod (pod_namespace)	PanPODNamespace		pod_namespace	target.resource.attribute.labels.key/value
Nom du pod (pod_name)	PanPODName		pod_name	target.resource.name
Liste dynamique externe source (src_edl)	PanSrcEDL		src_edl	additional.fields.key et additional.fields.value.string_value
Liste dynamique externe de destination (dst_edl)	PanDstEDL		dst_edl	additional.fields.key et additional.fields.value.string_value
ID d'hôte (hostid)	PanGPHostID		hostid	principal.asset.asset_id
Numéro de série de l'appareil de l'utilisateur (serialnumber)	PanEPSerial			principal.asset.hardware.serial_number
EDL de domaine (domain_edl)	PanDomainEDL		domain_edl	additional.fields.key et additional.fields.value.string_value
Groupe d'adresses dynamiques source (src_dag)	PanSrcDAG			principal.group.group_display_name
Groupe d'adresses dynamiques de destination (dst_dag)	PanDstDAG			target.group.group_display_name
Hachage partiel (partial_hash)	PanPartialHash		partial_hash	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res timestamp)	PanTimeHighRes		horodatage haute résolution	additional.fields.key et additional.fields.value.string_value
Motif (reason)	PanReasonFilteringAction		reason	security_result.summary
Justification (justification)	PanJustification		justification	additional.fields.key et additional.fields.value.string_value
Type de service de tranche (nssai_sst)	PanASServiceType		nssai_sst	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)			risk_of_app	additional.fields.key et additional.fields.value.string_value
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur d'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application SaaS (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
Application tunnelisée (tunneled_app)				additional.fields.key et additional.fields.value.string_value
Type de flux (flow_type)				additional.fields.key et additional.fields.value.string_value
Nom du cluster (cluster_name)				intermediary.resource.name
État d'approbation de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value

Trafic

Le tableau suivant répertorie les champs de journal du type de journal de trafic et leurs champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat/Type		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)	start			metadata.event_timestamp
Adresse source (src)	src	src		principal.ip
Adresse de destination (dst)	dst	dst		target.ip
Adresse IP source NAT (natsrc)	sourceTranslatedAddress	srcPostNAT		principal.nat_ip
Adresse IP de destination NAT (natdst)	destinationTranslatedAddress	dstPostNAT		target.nat_ip
Nom de la règle (rule)	cs1	RuleName		security_result.rule_name
Utilisateur source (srcuser)	suser	SourceUser		principal.user.userid
Utilisateur de destination (dstuser)	duser	DestinationUser		target.user.userid
Application (appli)	application	Application		target.application
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)	cs4	SourceZone	de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)	cs5	DestinationZone	à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)	deviceInboundInterface	IngressInterface	inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)	deviceOutboundInterface	EgressInterface	outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6	LogForwardingProfile	logset	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)	cn1	SessionID		network.session_id
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)	spt	srcPort		principal.port
Port de destination (dport)	dpt	dstPort		target.port
Port source NAT (natsport)	sourceTranslatedPort	srcPostNATPort		principal.nat_port
Port de destination NAT (natdport)	destinationTranslatedPort	dstPostNATPort		target.nat_port
Indicateurs (flags)	flexString1	Options	flags	additional.fields.key et additional.fields.value.string_value
Protocole IP (proto)	proto	proto		network.ip_protocol
Action (action)	agir	action		security_result.action_details security_result.action
Octets (octets)	flexNumber1	totalBytes	bytes	additional.fields.key et additional.fields.value.string_value
Octets envoyés (bytes_sent)	dans	srcBytes		network.sent_bytes
Octets reçus (bytes_received)	interprétés.	dstBytes		network.received_bytes
Paquets (packets)	cn2	totalPackets	paquets	additional.fields.key et additional.fields.value.string_value
Heure de début (start)		StartTime	start	additional.fields.key et additional.fields.value.string_value
Temps écoulé (elapsed)	cn3	ElapsedTime	écoulé	network.session_duration.seconds
Category (catégorie)	cs2	URLCategory		security_result.category / security_result.category_details
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Pays source (srcloc)		SourceLocation		principal.location.country_or_region
Pays de destination (dstloc)		DestinationLocation		target.location.country_or_region
Paquets envoyés (pkts_sent)	PanOSPacketsSent	srcPackets	pkts_sent	network.sent_packets
Paquets reçus (pkts_received)	PanOSPacketsReceived	dstPackets	pkts_received	network.received_packets
Motif de fin de la session (session_end_reason)	reason	SessionEndReason		security_result.summary
Hiérarchie des groupes d'appareils 1 (dg_hier_level_1 à dg_hier_level_4)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie du groupe d'appareils 2 (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils 3 (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname intermediary.asset.hostname
Source de l'action (action_source)	cat	ActionSource	action_source	additional.fields.key et additional.fields.value.string_value
UUID de la VM source (src_uuid)	PanOSSrcUUID	SrcUUID		principal.asset.product_object_id
UUID de la VM de destination (dst_uuid)	PanOSDstUUID	DstUUID		target.asset.product_object_id
ID de tunnel/IMSI (tunnelid/imsi)	PanOSTunnelID	TunnelID	tunnelid/imsi	additional.fields.key et additional.fields.value.string_value
Balise/IMEI du moniteur (monitortag/imei)	PanOSMonitorTag	MonitorTag	monitortag/imei	additional.fields.key et additional.fields.value.string_value
ID de session parent (parent_session_id)	PanOSParentSessionID	ParentSessionID	parent_session_id	network.parent_session_id
Heure de début du parent (parent_start_time)	PanOSParentStartTime	ParentStartTime	parent_start_time	additional.fields.key et additional.fields.value.string_value
Type de tunnel (tunnel)	PanOSTunnelType	TunnelType	tunnel	additional.fields.key et additional.fields.value.string_value
ID d'association SCTP (assoc_id)	PanOSSCTPAssocID		assoc_id	additional.fields.key et additional.fields.value.string_value
Morceaux SCTP (chunks)	PanOSSCTPChunks		morceaux	additional.fields.key et additional.fields.value.string_value
Fragments SCTP envoyés (chunks_sent)	PanOSSCTPChunkSent		chunks_sent	additional.fields.key et additional.fields.value.string_value
Fragments SCTP reçus (chunks_received)	PanOSSCTPChunksRcv		chunks_received	additional.fields.key et additional.fields.value.string_value
UUID de la règle (rule_uuid)	PanOSRuleUUID			security_result.rule_id
Connexion HTTP/2 (http2_connection)	PanOSHTTP2Con		http2_connection	network.application_protocol_version
Nombre de basculements d'application (link_change_count)	PanLinkChange		link_change_count	additional.fields.key et additional.fields.value.string_value
ID de la règle (policy_id)	PanPolicyID		policy_id	additional.fields.key et additional.fields.value.string_value
Contacteurs de lien (link_switches)	PanLinkDetail		link_switches	additional.fields.key et additional.fields.value.string_value
Cluster SD-WAN (sdwan_cluster)	PanSDWANCluster		sdwan_cluster	additional.fields.key et additional.fields.value.string_value
Type d'appareil SD-WAN (sdwan_device_type)	PanSDWANDevice		sdwan_device_type	additional.fields.key et additional.fields.value.string_value
Type de cluster SD-WAN (sdwan_cluster_type)	PanSDWANClustype		sdwan_cluster_type	additional.fields.key et additional.fields.value.string_value
Site SD-WAN (sdwan_site)	PanSDWANSite		sdwan_site	additional.fields.key et additional.fields.value.string_value
Nom du groupe d'utilisateurs dynamique (dynusergroup_name)	PanDynamicUsrgrp		dynusergroup_name	additional.fields.key et additional.fields.value.string_value
Adresse XFF (xff_ip)	PanXFFIP			principal.ip
Catégorie de l'appareil source (src_category)	PanSrcDeviceCat		src_category	principal.asset.category
Profil de l'appareil source (src_profile)	PanSrcDeviceProf		src_profile	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil source (src_model)	PanSrcDeviceModel		src_model	principal.asset.hardware.model
Fournisseur de l'appareil source (src_vendor)	PanSrcDeviceVendor		src_vendor	principal.asset.hardware.manufacturer
Famille d'OS de l'appareil source (src_osfamily)	PanSrcDeviceOS			principal.platform
Version de l'OS de l'appareil source (src_osversion)	PanSrcDeviceOSv			principal.asset.software.version
Nom d'hôte source (src_host)	PanSrcHostname			principal.hostname
Adresse MAC source (src_mac)	PanSrcMac			principal.mac
Catégorie de l'appareil de destination (dst_category)	PanDstDeviceCat		dst_category	target.asset.category
Profil de l'appareil de destination (dst_profile)	PanDstDeviceProf		dst_profile	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil de destination (dst_model)	PanDstDeviceModel		dst_model	target.asset.hardware.model
Fournisseur de l'appareil de destination (dst_vendor)	PanDstDeviceVendor		dst_vendor	target.asset.hardware.manufacturer
Famille d'OS de l'appareil de destination (dst_osfamily)	PanDstDeviceOS		dst_osfamily	target.platform
Version de l'OS de l'appareil de destination (dst_osversion)	PanDstDeviceOSv			target.platform_version
Nom d'hôte de destination (dst_host)	PanDstHostname			target.hostname
Adresse MAC de destination (dst_mac)	PanDstMac			target.mac
ID du conteneur (container_id)	PanContainerName		container_id	intermediary.resource.product_object_id
Espace de noms du pod (pod_namespace)	PanPODNamespace		pod_namespace	target.resource.attribute.labels.key/value
Nom du pod (pod_name)	PanPODName		pod_name	target.resource.name
Liste dynamique externe source (src_edl)	PanSrcEDL		src_edl	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Liste dynamique externe de destination (dst_edl)	PanDstEDL		dst_edl	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
ID d'hôte (hostid)	PanGPHostID		hostid	principal.asset.asset_id
Numéro de série de l'appareil de l'utilisateur (serialnumber)	PanEPSerial			principal.asset.hardware.serial_number
Groupe d'adresses dynamiques source (src_dag)	PanSrcDAG			principal.group.group_display_name
Groupe d'adresses dynamiques de destination (dst_dag)	PanDstDAG			target.group.group_display_name
Propriétaire de la session (session_owner)	PanHASessionOwner		session_owner	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res_timestamp)	PanTimeHighRes			additional.fields.key et additional.fields.value.string_value
Type de service de tranche (nsdsai_sst)	PanASServiceType		nsdsai_sst	additional.fields.key et additional.fields.value.string_value
Un différenciateur de tranche (nsdsai_sd)	PanASServiceDiff		nsdsai_sd	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)				security_result.severity
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur d'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application SaaS (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
État d'approbation de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app1	additional.fields.key et additional.fields.value.string_value
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details

User-ID

Le tableau suivant liste les champs de journal du type de journal user-id et leurs champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Adresse IP source (ip)	src	src		principal.ip
Utilisateur (user)	duser	usrName		target.user.userid target.administrative_domain target.user.email_addresses
Nom de la source de données (datasourcename)	cs4	DataSourceName	datasourcename	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
ID d'événement (eventid)		EventID	eventid	additional.fields.key et additional.fields.value.string_value
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Seuil de délai avant expiration (timeout)	cn3	TimeoutThreshold	délai avant expiration	additional.fields.key et additional.fields.value.string_value
Port source (beginport)	spt	srcPort		principal.port
Port de destination (endport)	dpt	dstPort		target.port
Source de données (datasource)	cs5	DataSource	source de données	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Type de source de données (datasourcetype)	cs6	DataSourceType	datasourcetype	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname
ID du système virtuel (vsys_id)	cn2	VirtualSystemID		intermediary.resource.product_object_id
Type de facteur (factortype)	cs1	FactorType	factortype	additional.fields.key et additional.fields.value.string_value
Temps de réalisation du facteur (factorcompletiontime)	end	FactorCompletionTime	factorcompletiontime	additional.fields.key et additional.fields.value.string_value
Numéro de facteur (factorno)	cn1	FactorNumber	factorno	additional.fields.key et additional.fields.value.string_value
Indicateurs de groupe d'utilisateurs (ugflags)	PanOSUGFlags		ugflags	additional.fields.key et additional.fields.value.string_value
Utilisateur par source (userbysource)	PanOSUserBySource			additional.fields, target.user.userid (si "duser" est absent)
Code temporel haute résolution (high_res timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Source de données d'origine (origindatasource)				additional.fields.key et additional.fields.value.string_value
Nom du cluster (cluster_name)				principal.resource.name
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details

Correspondance HIP

Le tableau suivant liste les champs de journal du type de journal de correspondance HIP et leurs champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		target.asset.hardware.serial_number intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type
Heure de génération (time_generated ou cef-formatted-time_generated)	start	startTime		metadata.event_timestamp
Utilisateur source (srcuser)	suser	usrName		principal.user.userid
Système virtuel (vsys)	cs3	VirtualSystem	vsys	target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Nom de la machine (machinename)	shost	identHostName		principal.hostname
Système d'exploitation (OS)	cs2	OS		principal.asset.platform_software.platform
Adresse source (src)	src	identsrc		principal.ip
HIP (matchname)	cat	HIP	matchname	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Type de HIP (matchtype)	ID de classe d'événement de l'appareil (en-tête)	HIPType	matchtype	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		target.hostname intermediary.hostname
ID du système virtuel (vsys_id)	cn2	VirtualSystemID		target.resource.product_object_id intermediary.resource.product_object_id
Adresse système IPv6 (srcipv6)	c6a2	srcipv6		principal.asset.ip
ID d'hôte (hostid)	PanOSHostID			principal.asset.asset_id
Numéro de série de l'appareil de l'utilisateur (serialnumber)	PanOSEndpointSerialNumber			principal.asset.hardware.serial_number
Adresse MAC de l'appareil (mac)	PanOSEndpointMac			principal.asset.mac
Code temporel haute résolution (high_res_timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Nom du cluster (cluster_name)				principal.resource.name
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details

Tag IP

Le tableau suivant liste les champs de journal du type de journal de tag d'adresse IP et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		target.asset.hardware.serial_number intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)		GenerateTime		metadata.event_timestamp
Système virtuel (vsys)	cs3	VirtualSystem	vsys	target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Adresse IP source (ip)	src	src		principal.ip
Nom du tag (tag_name)	PanOSTagName	TagName	tag_name	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
ID de l'événement (event_id)	PanOSEventID	EventID	event_id	additional.fields.key et additional.fields.value.string_value
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Délai avant expiration (timeout)	PanOSTimeout	TimeoutThreshold	délai avant expiration	additional.fields.key et additional.fields.value.string_value
Nom de la source de données (datasourcename)	PanOSDataSourceName	DataSourceName	datasourcename	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Type de source de données (datasource_type)	PanOSDataSourceType	DataSource	datasource_type	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Sous-type de source de données (datasource_subtype)	PanOSDataSourceSubType	DataSourceType	datasource_subtype	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOsVsysName	vSrcName		target.asset.attribute.labels.key/value intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		target.hostname intermediary.hostname
ID du système virtuel (vsys_id)	cn2	VirtualSystemID		target.resource.product_object_id intermediary.resource.product_object_id
Code temporel haute résolution (high_res timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details
Nom du cluster (cluster_name)				principal.resource.name

Déchiffrement

Le tableau suivant liste les champs du type de journal de déchiffrement et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt			metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	PanOSDeviceSN			intermediary.asset.hardware.serial_number
Type (type)	type (Header)			metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)			metadata.product_event_type
Version de configuration (config_ver)	PanOSConfigVersion		config_ver	additional.fields.key et additional.fields.value.string_value
Heure de génération (time_generated)	PanOSLogTimeStamp			metadata.event_timestamp
Adresse source (src)	src			principal.ip
Adresse de destination (dst)	dst			target.ip
Adresse IP source NAT (natsrc)	sourceTranslatedAddress			principa.nat_ip
Adresse IP de destination NAT (natdst)	destinationTranslatedAddress			target.nat_ip
Règle (rule)	cs1			security_result.rule_name
Utilisateur source (srcuser)	suser			principal.user.userid
Utilisateur de destination (dstuser)	duser			target.user.userid
Application (appli)	application			network.application_protocol
Système virtuel (vsys)	cs3		vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)	cs4		de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)	cs5		à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)	deviceInboundInterface		inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)	deviceOutboundInterface		outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6		logset	additional.fields.key et additional.fields.value.string_value
Heure d'enregistrement (time_received)	PanOSTimeReceivedManagementPlane			-
ID de session (sessionid)	cn1			network.session_id
Nombre de répétitions (repeatcnt)	PanOSCountOfRepeats/RepeatCount		repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)	spt			principal.port
Port de destination (dport)	dpt			target.port
Port source NAT (natsport)	sourceTranslatedPort			principal.nat_port
Port de destination NAT (natdport)	destinationTranslatedPort			target.nat_port
Indicateurs (flags)	flexString1		flags	additional.fields.key et additional.fields.value.string_value
Protocole IP (proto)	proto			network.ip_protocol
Action (action)	agir			security_result.action_details security_result.action
Tunnel (tunnel)	PanOSTunnel		tunnel	additional.fields.key et additional.fields.value.string_value
UUID de la VM source (src_uuid)	PanOSSourceUUID			principal.asset.product_object_id
UUID de la VM de destination (dst_uuid)	PanOSDestinationUUID			target.asset.product_object_id
UUID de la règle (rule_uuid)	PanOSRuleUUID			security_result.rule_id
Étape du client au pare-feu (hs_stage_c2f)	PanOSClientToFirewall		hs_stage_c2f	additional.fields.key et additional.fields.value.string_value
Étape de pare-feu à serveur (hs_stage_f2s)	PanOSFirewallToServer		hs_stage_f2s	additional.fields.key et additional.fields.value.string_value
Version TLS (tls_version)	PanOSTLSVersion			network.tls.version
Algorithme d'échange de clés (tls_keyxchg)	PanOSTLSKeyExchange		tls_keyxchg	additional.fields.key et additional.fields.value.string_value
Algorithme de chiffrement (tls_enc)	PanOSTLSEncryptionAlgorithm		tls_enc	additional.fields.key et additional.fields.value.string_value
Algorithme de hachage (tls_auth)	PanOSTLSAuth		tls_auth	additional.fields.key et additional.fields.value.string_value
Nom de la règle (policy_name)	PanOSPolicyName		policy_name	additional.fields.key et additional.fields.value.string_value
Courbe elliptique (ec_curve)	PanOSEllipticCurve			network.tls.curve
Index d'erreur (err_index)	PanOSErrorIndex		err_index	additional.fields.key et additional.fields.value.string_value
État de la racine (root_status)	PanOSRootStatus		root_status	additional.fields.key et additional.fields.value.string_value
État de la chaîne (chain_status)	PanOSChainStatus		chain_status	additional.fields.key et additional.fields.value.string_value
Type de proxy (proxy_type)	PanOSProxyType		proxy_type	additional.fields.key et additional.fields.value.string_value
Numéro de série du certificat (cert_serial)	PanOSCertificateSerial			network.tls.server.certificate.serial
Empreinte du certificat (fingerprint)	PanOSFingerprint			network.tls.server.certificate.md5/sha1/sha256
Date de début du certificat (notbefore)	PanOSTimeNotBefore			network.tls.server.certificate.not_before
Date de fin du certificat (notafter)	PanOSTimeNotAfter			network.tls.server.certificate.not_after
Version du certificat (cert_ver)	PanOSCertificateVersion			network.tls.server.certificate.version
Taille du certificat (cert_size)	PanOSCertificateSize		cert_size	additional.fields.key et additional.fields.value.string_value
Longueur du nom commun (cn_len)	PanOSCommonNameLength		cn_len	additional.fields.key et additional.fields.value.string_value
Longueur du nom commun de l'émetteur (issuer_len)	PanOSIssuerNameLength		issuer_len	additional.fields.key et additional.fields.value.string_value
Longueur du nom commun racine (rootcn_len)	PanOSRootCNLength		rootcn_len	additional.fields.key et additional.fields.value.string_value
Longueur SNI (sni_len)	PanOSSNILength		sni_len	additional.fields.key et additional.fields.value.string_value
Indicateurs de certificat (cert_flags)	PanOSCertificateFlags		cert_flags	additional.fields.key et additional.fields.value.string_value
Nom commun du sujet (cn)	PanOSCommonName		cn	additional.fields.key et additional.fields.value.string_value
Nom commun de l'émetteur (issuer_cn)	PanOSIssuerCommonName			network.tls.server.certificate.issuer
Nom commun racine (root_cn)	PanOSRootCommonName		root_cn	additional.fields.key et additional.fields.value.string_value
Indication du nom du serveur (sni)				network.tls.client.server_name
Erreur (error)	PanOSErrorMessage		erreur	additional.fields.key et additional.fields.value.string_value
ID du conteneur (container_id)	PanOSContainerID		container_id	intermediary.resource.product_object_id
Espace de noms du pod (pod_namespace)	PanOSContainerNameSpace		pod_namespace	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Nom du pod (pod_name)	PanOSContainerName		pod_name	target.resource.name
Liste dynamique externe source (src_edl)	PanOSSourceEDL		src_edl	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Liste dynamique externe de destination (dst_edl)	PanOSDestinationEDL		dst_edl	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Groupe d'adresses dynamiques source (src_dag)	PanOSSourceDynamicAddressGroup			principal.group.group_display_name
Groupe d'adresses dynamiques de destination (dst_dag)	PanOSDestinationDynamicAddressGroup			target.group.group_display_name
Code temporel haute résolution (high_res_timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Catégorie de l'appareil source (src_category)	PanOSSourceDeviceCategory		src_category	principal.asset.category
Profil de l'appareil source (src_profile)	PanOSSourceDeviceProfile		src_profile	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil source (src_model)	PanOSSourceDeviceModel		src_model	principal.asset.hardware.model
Fournisseur de l'appareil source (src_vendor)	PanOSSourceDeviceVendor		src_vendor	principal.asset.hardware.manufacturer
Famille d'OS de l'appareil source (src_osfamily)	PanOSSourceDeviceOSFamily			principal.platform
Version de l'OS de l'appareil source (src_osversion)	PanOSSourceDeviceOSVersion			principal.platform_version
Nom d'hôte source (src_host)	PanOSSourceDeviceHost			principal.hostname
Adresse MAC source (src_mac)	PanOSSourceDeviceMac			principal.mac
Catégorie de l'appareil de destination (dst_category)	PanOSDestinationDeviceCategory		dst_category	target.asset.category
Profil de l'appareil de destination (dst_profile)	PanOSDestinationDeviceProfile		dst_profile	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil de destination (dst_model)	PanOSDestinationDeviceModel		dst_model	target.asset.hardware.model
Fournisseur de l'appareil de destination (dst_vendor)	PanOSDestinationDeviceVendor		dst_vendor	target.asset.hardware.manufacturer
Famille d'OS de l'appareil de destination (dst_osfamily)	PanOSDestinationDeviceOSFamily		dst_osfamily	target.platform
Version de l'OS de l'appareil de destination (dst_osversion)	PanOSDestinationDeviceOSVersion			target.platform_version
Nom d'hôte de destination (dst_host)	PanOSDestinationDeviceHost			target.hostname
Adresse MAC de destination (dst_mac)	PanOSDestinationDeviceMac			target.mac
Numéro de séquence (seqno)	PanOSLogTypeSeqNo			metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags		actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1)		DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)		DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)		DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)		DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)				intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)				intermediary.hostname
ID du système virtuel (vsys_id)				intermediary.resource.product_object_id
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)				security_result.severity
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur d'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application SaaS (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
État d'approbation de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details

Tunnel

Le tableau suivant liste les champs de journal du type de journal de tunnel et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Adresse source (src)	src	src		principal.ip
Adresse de destination (dst)	dst	dst		target.ip
Adresse IP source NAT (natsrc)	sourceTranslatedAddress	srcPostNAT		principal.nat_ip
Adresse IP de destination NAT (natdst)	destinationTranslatedAddress	dstPostNAT		target.nat_ip
Nom de la règle (rule)	cs1	RuleName		security_result.rule_name
Utilisateur source (srcuser)	suser	SourceUser / usrName		principal.user.userid
Utilisateur de destination (dstuser)	duser	DestinationUser		target.user.userid
Application (appli)	application	Application		network.application_protocol
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)	cs4	SourceZone	de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)	cs5	DestinationZone	à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)	deviceInboundInterface	IngressInterface	inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)	deviceOutboundInterface	EgressInterface	outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6	LogForwardingProfile	logset	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)	cn1	SessionID		network.session_id
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)	spt	srcPort		principal.port
Port de destination (dport)	dpt	dstPort		target.port
Port source NAT (natsport)	sourceTranslatedPort	srcPostNATPort		principal.nat_port
Port de destination NAT (natdport)	destinationTranslatedPort	dstPostNATPort		target.nat_port
Indicateurs (flags)	flexString1	Options	flags	additional.fields.key et additional.fields.value.string_value
Protocole IP (proto)	proto	proto		network.ip_protocol
Action (action)	agir	action		security_result.action_details security_result.action
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Emplacement de la source (srcloc)				principal.location.country_or_region
Emplacement de la destination (dstloc)				target.location.country_or_region
Hiérarchie des groupes d'appareils (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname
ID du tunnel (tunnelid)	PanOSTunnelID	TunnelID	tunnelid	additional.fields.key et additional.fields.value.string_value
Balise de surveillance (monitortag)	PanOSMonitorTag	MonitorTag	monitortag	additional.fields.key et additional.fields.value.string_value
ID de session parent (parent_session_id)	PanOSParentSessionID	ParentSessionID	parent_session_id	network.parent_session_id
Heure de début du parent (parent_start_time)	PanOSParentStartTime	ParentStartTime	parent_start_time	additional.fields.key et additional.fields.value.string_value
Type de tunnel (tunnel)	cs2	TunnelType	tunnel	additional.fields.key et additional.fields.value.string_value
Octets (octets)	flexNumber1	totalBytes	bytes	additional.fields.key et additional.fields.value.string_value
Octets envoyés (bytes_sent)	dans	srcBytes		network.sent_bytes
Octets reçus (bytes_received)	interprétés.	dstBytes		network.received_bytes
Paquets (packets)	cn2	totalPackets	paquets	additional.fields.key et additional.fields.value.string_value
Paquets envoyés (pkts_sent)	PanOSPacketsSent	srcPackets	pkts_sent	network.sent_packets
Paquets reçus (pkts_received)	PanOSPacketsReceived	dstPackets	pkts_received	network.received_packets
Encapsulation maximale (max_encap)	flexNumber2	MaximumEncapsulation	max_encap	additional.fields.key et additional.fields.value.string_value
Protocole inconnu (unknown_proto)	cfp1	UnknownProtocol	unknown_proto	additional.fields.key et additional.fields.value.string_value
Vérification stricte (strict_check)	cfp2	StrictChecking	strict_check	additional.fields.key et additional.fields.value.string_value
Fragment de tunnel (tunnel_fragment)	PanOSTunnelFragment	TunnelFragment	tunnel_fragment	additional.fields.key et additional.fields.value.string_value
Sessions créées (sessions_created)	cfp3	SessionsCreated	sessions_created	additional.fields.key et additional.fields.value.string_value
Sessions fermées (sessions_closed)	cfp4	SessionsClosed	sessions_closed	additional.fields.key et additional.fields.value.string_value
Motif de fin de la session (session_end_reason)	reason	SessionEndReason		security_result.summary
Source de l'action (action_source)	cat	ActionSource	action_source	additional.fields.key et additional.fields.value.string_value
Heure de début (start)		startTime	start	additional.fields.key et additional.fields.value.string_value
Temps écoulé (elapsed)	cn3	ElapsedTime	écoulé	network.session_duration.seconds
Règle d'inspection de tunnel (tunnel_insp_rule)	PanOSTunneInspectionRule			security_result.rule_name = "Tunnel Inspection Rule: %{PanOSTunnelInspectionRule}"
Adresse IP de l'utilisateur distant (remote_user_ip)	PanOSRmtUserIP			principal.ip
ID utilisateur distant (remote_user_id)	PanOSRmtUserID		remote_user_id	principal.user.userid
UUID de la règle de sécurité (rule_uuid)	PanOSRuleUUID			security_result.rule_id
ID PCAP (pcap_id)	PanOSPcapID		pcap_id	additional.fields.key et additional.fields.value.string_value
Nom du groupe d'utilisateurs dynamique (dynusergroup_name)	PanDynamicUsrgrp			principal.group.group_display_name
Liste dynamique externe source (src_edl)	PanOSSourceEDL		src_edl	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Liste dynamique externe de destination (dst_edl)	PanOSDestinationEDL		dst_edl	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Un différenciateur de tranche (nssai_sd)			nssai_sd	additional.fields.key et additional.fields.value.string_value
Type de service de tranche (nssai_sd)			nssai_sd1	additional.fields.key et additional.fields.value.string_value
ID de session PDU (pdu_session_id)			pdu_session_id	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)			risk_of_app	additional.fields.key et additional.fields.value.string_value
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur d'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application SaaS (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
Application tunnelisée (tunneled_app)				additional.fields.key et additional.fields.value.string_value
Déchargé (déchargé)				additional.fields.key et additional.fields.value.string_value
Type de flux (flow_type)				additional.fields.key et additional.fields.value.string_value
Nom du cluster (cluster_name)				principal.resource.name
État d'approbation de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value

Authentification

Le tableau suivant liste les champs du type de journal d'authentification et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Adresse IP source (ip)	src	src		principal.ip
Utilisateur (user)	duser	usrName		target.user.userid
Normaliser l'utilisateur (normalize_user)	cs2	NormalizeUser		target.user.user_display_name
Objet (objet)	fname	ObjectName	objet	target.resource.name
Règle d'authentification (authpolicy)	cs4	AuthPolicy	authpolicy	additional.fields.key et additional.fields.value.string_value
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
ID d'authentification (authid)	cn2	AuthenticationID	authid	additional.fields.key et additional.fields.value.string_value
Fournisseur (vendor)	flexString2	Fournisseur	vendor	additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6	LogForwardingProfile	logset	additional.fields.key et additional.fields.value.string_value
Profil de serveur (serverprofile)	cs1	ServerProfile	serverprofile	additional.fields.key et additional.fields.value.string_value
Description (décroiss.)	PanOSDesc	AdditionalAuthInfo		security_result.description
Type de client (clienttype)	cs5	ClientType	clienttype	additional.fields.key et additional.fields.value.string_value
Type d'événement (event)	Message	Message		extensions.auth.auth_details
Numéro de facteur (factorno)	cn1	FactorNumber	factorno	additional.fields.key et additional.fields.value.string_value
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname
ID du système virtuel (vsys_id)				intermediary.resource.product_object_id
Protocole d'authentification (authproto)			authproto	additional.fields.key et additional.fields.value.string_value
UUID de la règle (rule_uuid)	PanOSRuleUUID/RuleUUID			security_result.rule_id
Code temporel haute résolution (high_res _timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Catégorie de l'appareil source (src_category)	PanOSSourceDeviceCategory		src_category	principal.asset.category
Profil de l'appareil source (src_profile)	PanOSSourceDeviceProfile		src_profile	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil source (src_model)	PanOSSourceDeviceModel		src_model	principal.asset.hardware.model
Fournisseur de l'appareil source (src_vendor)	PanOSSourceDeviceVendor		src_vendor	principal.asset.hardware.manufacturer
Famille d'OS de l'appareil source (src_osfamily)	PanOSSourceDeviceOSFamily			principal.platform
Version de l'OS de l'appareil source (src_osversion)	PanOSSourceDeviceOSVersion			principal.platform_version
Nom d'hôte source (src_host)	PanOSSourceHostname			principal.hostname
Adresse MAC source (src_mac)	PanOSSourceMac			principal.asset.mac
Région (region)	PanOSTrafficOriginRegion			principal.location.country_or_region
User-agent (user_agent)	PanOSHTTPUserAgent			network.http.user_agent
ID de session(sessionid)	PanOSTrafficSessionID			network.session_id
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details
Nom du cluster (cluster_name)				principal.resource.name

URL

Le tableau suivant liste les champs de journal du type de journal d'URL et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération				metadata.event_timestamp
Adresse source (src)	src	src		principal.ip
Adresse de destination (dst)	dst	dst		target.ip
Adresse IP source NAT (natsrc)	sourceTranslatedAddress	srcPostNAT		principal.nat_ip
Adresse IP de destination NAT (natdst)	destinationTranslatedAddress	dstPostNAT		target.nat_ip
Règle (rule)	cs1	RuleName		security_result.rule_name
Utilisateur source (srcuser)	suser	SourceUser		principal.user.userid
Utilisateur de destination (dstuser)	duser	DestinationUser		target.user.userid
Application (appli)	application	Application		network.application_protocol
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)	cs4	SourceZone	de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)	cs5	DestinationZone	à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)	deviceInboundInterface	IngressInterface	inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)	deviceOutboundInterface	EgressInterface	outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6	LogForwardingProfile	logset	additional.fields.key et additional.fields.value.string_value
Temps enregistré			time_logged	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)	cn1	SessionID		network.session_id
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)	spt	srcPort		principal.port
Port de destination (dport)	dpt	dstPort		target.port
Port source NAT (natsport)	sourceTranslatedPort	srcPostNATPort		principal.nat_port
Port de destination NAT (natdport)	destinationTranslatedPort	dstPostNATPort		target.nat_port
Indicateurs (flags)	flexString1	Options	flags	additional.fields.key et additional.fields.value.string_value
Protocole IP (proto)	proto	proto		network.ip_protocol
Action (action)	agir	action		security_result.action_details security_result.action
URL/Nom de fichier (divers)		Autres		target.file.names target.url
Nom de la menace/du contenu (threatid)	cat	ThreatID		security_result.threat_id
Category (catégorie)	cs2	URLCategory	catégorie	security_result.category_details
Gravité (severity)	number-of-severity (Header)	Gravité		security_result.severity security_result.severity_details
Direction (direction)	flexString2	Direction		network.direction
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Pays source (srcloc)		SourceLocation		principal.location.country_or_region
Pays de destination (dstloc)		DestinationLocation		target.location.country_or_region
contenttype (contenttype)	requestContext	ContentType	contenttype	additional.fields.key et additional.fields.value.string_value
pcap_id (pcap_id)	fileId	PCAP_ID	pcap_id	additional.fields.key et additional.fields.value.string_value
filedigest (filedigest)		FileDigest		target.file.sha1/md5/sha256
cloud (cloud)		Cloud	cloud	additional.fields.key et additional.fields.value.string_value
url_idx (url_idx)		URLIndex	url_idx	additional.fields.key et additional.fields.value.string_value
user_agent (user_agent)	requestClientApplication	UserAgent		network.http.user_agent
filetype (filetype)				target.file.mime_type
xff (xff)	PanOSXForwarderfor	identSrc	xff	principal.ip
referer (referer)	PanOSReferer	Référent		network.http.referral_url
sender (sender)				network.email.from
subject (subject)		Objet		network.email.subject
destinataire (recipient)				network.email.to
reportid (reportid)			reportid	additional.fields.key et additional.fields.value.string_value
Niveau 1 de la hiérarchie DG (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Niveau 2 de la hiérarchie DG (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Niveau 3 de la hiérarchie DG (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Niveau 4 de la hiérarchie DG (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname
file_url (file_url)				target.url
UUID de la VM source (src_uuid)		SrcUUID		principal.asset.product_object_id
UUID de la VM de destination (dst_uuid)		DstUUID		target.asset.product_object_id
http_method (http_method)	requestMethod	RequestMethod		network.http.method
ID de tunnel/IMSI (tunnelid)	PanOSTunnelID	TunnelID	tunnelid	additional.fields.key et additional.fields.value.string_value
Tag/IMEI du moniteur (monitortag)	PanOSMonitorTag	MonitorTag	monitortag	additional.fields.key et additional.fields.value.string_value
ID de session parent (parent_session_id)	PanOSParentSessionID	ParentSessionID	parent_session_id	network.parent_session_id
Heure de début de la session parente (parent_start_time)	PanOSParentStartTime	ParentStartTime	parent_start_time	additional.fields.key et additional.fields.value.string_value
Tunnel (tunnel)	PanOSTunnelType	TunnelType	tunnel	additional.fields.key et additional.fields.value.string_value
thr_category (thr_category)	PanOSThreatCategory	ThreatCategory	thr_category	security_result.detection_fields.key/value
contentver (contentver)	PanOSContentVer	ContentVer	contentver	additional.fields.key et additional.fields.value.string_value
sig_flags (sig_flags)			sig_flags	additional.fields.key et additional.fields.value.string_value
ID d'association SCTP (assoc_id)	PanOSAssocID		assoc_id	additional.fields.key et additional.fields.value.string_value
ID de protocole de charge utile (PPID)	PanOSPPID		ppid	additional.fields.key et additional.fields.value.string_value
http_headers (http_headers)	PanOSHTTPHeader		http_headers	target.url.last_http_response_headers
Liste des catégories d'URL (url_category_list)	PanOSURLCatList		url_category_list	additional.fields.key et additional.fields.value.string_value
UUID de la règle (rule_uuid)	PanOSRuleUUID		rule_uuid	security_result.rule_id
Connexion HTTP/2 (http2_connection)	PanOSHTTP2Con		http2_connection	network.application_protocol_version
dynusergroup_name (dynusergroup_name)	PanDynamicUsrgrp		dynusergroup_name	additional.fields.key et additional.fields.value.string_value
Adresse XFF (xff_ip)	PanXFFIP			principal.ip
Catégorie de l'appareil source (src_category)	PanSrcDeviceCat		src_category	principal.asset.category
Profil de l'appareil source (src_profile)	PanSrcDeviceProf		src_profile	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil source (src_model)	PanSrcDeviceModel		src_model	principal.asset.hardware.model
Fournisseur de l'appareil source (src_vendor)	PanSrcDeviceVendor		src_vendor	principal.asset.hardware.manufacturer
Famille d'OS de l'appareil source (src_osfamily)	PanSrcDeviceOS			principal.platform
Version de l'OS de l'appareil source (src_osversion)	PanSrcDeviceOSv			principal.platform_version
Nom d'hôte source (src_host)	PanSrcHostname		src_host	principal.hostname
Adresse MAC source (src_mac)	PanSrcMac			principal.mac
Catégorie de l'appareil de destination (dst_category)	PanDstDeviceCat		dst_category	target.asset.category
Profil de l'appareil de destination (dst_profile)	PanDstDeviceProf		dst_profile	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil de destination (dst_model)	PanDstDeviceModel		dst_model	target.asset.hardware.model
Fournisseur de l'appareil de destination (dst_vendor)	PanDstDeviceVendor		dst_vendor	target.asset.hardware.manufacturer
Famille d'OS de l'appareil de destination (dst_osfamily)	PanDstDeviceOS			target.platform
Version de l'OS de l'appareil de destination (dst_osversion)	PanDstDeviceOSv			target.platform_version
Nom d'hôte de destination (dst_host)	PanPODNamespace			target.hostname
Adresse MAC de destination (dst_mac)	PanDstMac			target.mac
ID du conteneur (container_id)	PanContainerName		container_id	intermediary.resource.product_object_id
Espace de noms du pod (pod_namespace)	PanPODNamespace		pod_namespace	target.resource.attribute.labels.key/value
Nom du pod (pod_name)	PanPODName		pod_name	target.resource.name
Liste dynamique externe source (src_edl)	PanSrcEDL		src_edl	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Liste dynamique externe de destination (dst_edl)	PanDstEDL		dst_edl	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
ID d'hôte (hostid)	PanGPHostID		hostid	principal.asset.asset_id
Numéro de série (serialnumber)	PanEPSerial			principal.asset.hardware.serial_number
domain_edl (domain_edl)	PanDomainEDL		domain_edl	additional.fields.key et additional.fields.value.string_value
Groupe d'adresses dynamiques source (src_dag)	PanSrcDAG			principal.group.group_display_name
Groupe d'adresses dynamiques de destination (dst_dag)	PanDstDAG			target.group.group_display_name
partial_hash (partial_hash)	PanPartialHash		partial_hash	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res_timestamp)	PanTimeHighRes			additional.fields.key et additional.fields.value.string_value
Motif (reason)	PanReasonFilteringAction		reason	security_result.summary
justification (justification)	PanJustification		justification	additional.fields.key et additional.fields.value.string_value
nssai_sst (nssai_sst)	PanASServiceType		nssai_sst	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)			risk_of_app	additional.fields.key et additional.fields.value.string_value
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur de l'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application tunnelisée (tunneled_app)			tunneled_app	additional.fields.key et additional.fields.value.string_value
SaaS de l'application (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
État de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value
ID de rapport cloud (cloud_reportid)				additional.fields.key et additional.fields.value.string_value
Nom du cluster (cluster_name)				principal.resource.name
Type de flux (flow_type)				additional.fields.key et additional.fields.value.string_value

Données

Le tableau suivant liste les champs de journal du type de journal de données et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (cef-formatted-receive_time)	rt	devTime		metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)	deviceExternalId	SerialNumber		intermediary.asset.hardware.serial_number
Type (type)	type (Header)	cat		metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération				metadata.event_timestamp
Adresse source (src)	src	src		principal.ip
Adresse de destination (dst)	dst	dst		target.ip
Adresse IP source NAT (natsrc)	sourceTranslatedAddress	srcPostNAT		principal.nat_ip
Adresse IP de destination NAT (natdst)	destinationTranslatedAddress	dstPostNAT		target.nat_ip
Règle (rule)	cs1	RuleName		security_result.rule_name
Utilisateur source (srcuser)	suser	SourceUser		principal.user.userid
Utilisateur de destination (dstuser)	duser	DestinationUser		target.user.userid
Application (appli)	application	Application		network.application_protocol
Système virtuel (vsys)	cs3	VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)	cs4	SourceZone	de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)	cs5	DestinationZone	à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)	deviceInboundInterface	IngressInterface	inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)	deviceOutboundInterface	EgressInterface	outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)	cs6	LogForwardingProfile	logset	additional.fields.key et additional.fields.value.string_value
Temps enregistré			time_logged	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)	cn1	SessionID		network.session_id
Nombre de répétitions (repeatcnt)	cnt	RepeatCount	repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)	spt	srcPort		principal.port
Port de destination (dport)	dpt	dstPort		target.port
Port source NAT (natsport)	sourceTranslatedPort	srcPostNATPort		principal.nat_port
Port de destination NAT (natdport)	destinationTranslatedPort	dstPostNATPort		target.nat_port
Indicateurs (flags)	flexString1	Options	flags	additional.fields.key et additional.fields.value.string_value
Protocole IP (proto)	proto	proto		network.ip_protocol
Action (action)	agir	action		security_result.action_details security_result.action
URL/Nom de fichier (divers)		Autres		target.file.names target.url
Nom de la menace/du contenu (threatid)	cat	ThreatID		security_result.threat_id
Category (catégorie)	cs2	URLCategory	catégorie	security_result.category_details
Gravité (severity)	number-of-severity (Header)	Gravité		security_result.severity security_result.severity_details
Direction (direction)	flexString2	Direction		network.direction
Numéro de séquence (seqno)	externalId	séquence		metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags	ActionFlags	actionflags	additional.fields.key et additional.fields.value.string_value
Pays source (srcloc)		SourceLocation		principal.location.country_or_region
Pays de destination (dstloc)		DestinationLocation		target.location.country_or_region
contenttype (contenttype)		ContentType	contenttype	additional.fields.key et additional.fields.value.string_value
pcap_id (pcap_id)	fileId	PCAP_ID	pcap_id	additional.fields.key et additional.fields.value.string_value
filedigest (filedigest)		FileDigest		target.file.sha1/md5/sha256
cloud (cloud)		Cloud	cloud	additional.fields.key et additional.fields.value.string_value
url_idx (url_idx)		URLIndex	url_idx	additional.fields.key et additional.fields.value.string_value
user_agent (user_agent)				network.http.user_agent
filetype (filetype)				target.file.mime_type
xff (xff)			xff	principal.ip
referer (referer)				network.http.referral_url
sender (sender)				network.email.from
subject (subject)		Objet		network.email.subject
destinataire (recipient)				network.email.to
reportid (reportid)			reportid	additional.fields.key et additional.fields.value.string_value
Niveau 1 de la hiérarchie DG (dg_hier_level_1)	PanOSDGl1	DeviceGroupHierarchyL1	dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Niveau 2 de la hiérarchie DG (dg_hier_level_2)	PanOSDGl2	DeviceGroupHierarchyL2	dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Niveau 3 de la hiérarchie DG (dg_hier_level_3)	PanOSDGl3	DeviceGroupHierarchyL3	dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Niveau 4 de la hiérarchie DG (dg_hier_level_4)	PanOSDGl4	DeviceGroupHierarchyL4	dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)	PanOSVsysName	vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)	dvchost	DeviceName		intermediary.hostname
file_url (file_url)				target.url
UUID de la VM source (src_uuid)		SrcUUID		principal.asset.product_object_id
UUID de la VM de destination (dst_uuid)		DstUUID		target.asset.product_object_id
http_method (http_method)		RequestMethod		network.http.method
ID de tunnel/IMSI (tunnelid)	PanOSTunnelID	TunnelID	tunnelid	additional.fields.key et additional.fields.value.string_value
Tag/IMEI du moniteur (monitortag)	PanOSMonitorTag	MonitorTag	monitortag	additional.fields.key et additional.fields.value.string_value
ID de session parent (parent_session_id)	PanOSParentSessionID	ParentSessionID	parent_session_id	network.parent_session_id
Heure de début de la session parente (parent_start_time)	PanOSParentStartTime	ParentStartTime	parent_start_time	additional.fields.key et additional.fields.value.string_value
Tunnel (tunnel)	PanOSTunnelType	TunnelType	tunnel	additional.fields.key et additional.fields.value.string_value
thr_category (thr_category)	PanOSThreatCategory	ThreatCategory	thr_category	security_result.detection_fields.key/value
contentver (contentver)	PanOSContentVer	ContentVer	contentver	additional.fields.key et additional.fields.value.string_value
sig_flags (sig_flags)			sig_flags	additional.fields.key et additional.fields.value.string_value
ID d'association SCTP (assoc_id)	PanOSAssocID		assoc_id	additional.fields.key et additional.fields.value.string_value
ID de protocole de charge utile (PPID)	PanOSPPID		ppid	additional.fields.key et additional.fields.value.string_value
http_headers (http_headers)	PanOSHTTPHeader		http_headers	target.url.last_http_response_headers
Liste des catégories d'URL (url_category_list)			url_category_list	additional.fields.key et additional.fields.value.string_value
UUID de la règle (rule_uuid)	PanOSRuleUUID		rule_uuid	security_result.rule_id
Connexion HTTP/2 (http2_connection)			http2_connection	network.application_protocol_version
dynusergroup_name (dynusergroup_name)			dynusergroup_name	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Adresse XFF (xff_ip)				principal.ip
Catégorie de l'appareil source (src_category)			src_category	principal.asset.category
Profil de l'appareil source (src_profile)			src_profile	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil source (src_model)			src_model	principal.asset.hardware.model
Fournisseur de l'appareil source (src_vendor)			src_vendor	principal.asset.hardware.manufacturer
Famille d'OS de l'appareil source (src_osfamily)				principal.platform
Version de l'OS de l'appareil source (src_osversion)				principal.platform_version
Nom d'hôte source (src_host)			src_host	principal.hostname
Adresse MAC source (src_mac)				principal.mac
Catégorie de l'appareil de destination (dst_category)			dst_category	target.asset.category
Profil de l'appareil de destination (dst_profile)			dst_profile	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Modèle de l'appareil de destination (dst_model)			dst_model	target.asset.hardware.model
Fournisseur de l'appareil de destination (dst_vendor)			dst_vendor	target.asset.hardware.manufacturer
Famille d'OS de l'appareil de destination (dst_osfamily)				target.platform
Version de l'OS de l'appareil de destination (dst_osversion)				target.platform_version
Nom d'hôte de destination (dst_host)				target.hostname
Adresse MAC de destination (dst_mac)				target.mac
ID du conteneur (container_id)			container_id	intermediary.resource.product_object_id
Espace de noms du pod (pod_namespace)			pod_namespace	target.resource.attribute.labels.key/value
Nom du pod (pod_name)			pod_name	target.resource.name
Liste dynamique externe source (src_edl)			src_edl	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Liste dynamique externe de destination (dst_edl)			dst_edl	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
ID d'hôte (hostid)			hostid	principal.asset.asset_id
Numéro de série (serialnumber)				principal.asset.hardware.serial_number
domain_edl (domain_edl)			domain_edl	additional.fields.key et additional.fields.value.string_value
Groupe d'adresses dynamiques source (src_dag)				principal.group.group_display_name
Groupe d'adresses dynamiques de destination (dst_dag)				target.group.group_display_name
partial_hash (partial_hash)			partial_hash	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res_timestamp)				additional.fields.key et additional.fields.value.string_value
Motif (reason)			reason	security_result.summary
justification (justification)			justification	additional.fields.key et additional.fields.value.string_value
nssai_sst (nssai_sst)			nssai_sst	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)			risk_of_app	additional.fields.key et additional.fields.value.string_value
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur de l'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application tunnelisée (tunneled_app)			tunneled_app	additional.fields.key et additional.fields.value.string_value
SaaS de l'application (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
État de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value
ID de rapport cloud (cloud_reportid)				additional.fields.key et additional.fields.value.string_value
Nom du cluster (cluster_name)				principal.resource.name
Type de flux (flow_type)				additional.fields.key et additional.fields.value.string_value

GlobalProtect

Le tableau suivant liste les champs de journal du type de journal GlobalProtect et les champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time)	rt		received_time	metadata.event_timestamp
Numéro de série (serial)	PanOSDeviceSN		intermediary_asset_hardware_serial_number	intermediary.asset.hardware.serial_number
Type (type)	type (Header)			metadata.product_event_type
Type de menace/contenu (sous-type)	subtype (Header)	Sous-type		metadata.product_event_type
Heure de génération (time_generated)	PanOSLogTimeStamp		generated_timestamp	metadata.event_timestamp
Système virtuel (vsys)	PanOSVirtualSystem		vsys	intermediary.asset.attribute.labels.key/value
ID d'événement (eventid)	PanOSEventID		event_id	additional.fields.key et additional.fields.value.string_value
Étape (stage)	PanOSStage		étape	additional.fields.key et additional.fields.value.string_value
Méthode d'authentification (auth_method)	PanOSAuthMethod		extension_auth_auth_details	extensions.auth.auth_details
Type de tunnel (tunnel_type)	PanOSTunnelType		tunnel	additional.fields.key et additional.fields.value.string_value
Utilisateur source (srcuser)	PanOSSourceUserName		src_user	principal.user.email_address principal.user.userid principal.administrative_domain
Région source (srcregion)	PanOSSourceRegion		src_region	principal.location.country_or_region
Nom de la machine (machinename)	PanOSEndpointDeviceName		machine_name	principal.hostname
Adresse IP publique (public_ip)	PanOSPublicIPv4			principal.nat_ip
IPv6 public (public_ipv6)	PanOSPublicIPv6			principal.nat_ip
Adresse IP privée (private_ip)	PanOSPrivateIPv4			principal.ip
IPv6 privé (private_ipv6)	PanOSPrivateIPv6			principal.ip
ID d'hôte (hostid)	PanOSHostID		hostid	principal.asset.asset_id
Numéro de série (serialnumber)	PanOSDeviceSN			principal.asset.hardware.serial_number
Version du client (client_ver)	PanOSGlobalProtectClientVersion		client_ver	additional.fields.key et additional.fields.value.string_value
OS client (client_os)	PanOSEndpointOSType			principal.platform
Version de l'OS client (client_os_ver)	PanOSEndpointOSVersion			principal.platform_version
Nombre de répétitions (repeatcnt)	PanOSCountOfRepeats		repeatcnt	additional.fields.key et additional.fields.value.string_value
Motif (reason)	PanOSQuarantineReason			security_result.summary
Erreur (error)	PanOSConnectionError		erreur	security_result.description
Description (opaque)	PanOSDescription			security_result.description
État (status)	PanOSEventStatus		état	additional.fields.key et additional.fields.value.string_value
Emplacement (location)	PanOSGPGatewayLocation			target.location.country_or_region
Durée de connexion (login_duration)	PanOSLoginDuration			network.session_duration
Méthode de connexion (connect_method)	PanOSConnectionMethod		connect_method	additional.fields.key et additional.fields.value.string_value
Code d'erreur (error_code)	PanOSConnectionErrorID		error_code	additional.fields.key et additional.fields.value.string_value
Portal (portal)	PanOSPortal		portail	additional.fields.key et additional.fields.value.string_value
Numéro de séquence (seqno)	PanOSSequenceNo			metadata.product_log_id
Indicateurs d'action (actionflags)	PanOSActionFlags		actionflags	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res_timestamp)	PanOSTimeGeneratedHighResolution			additional.fields.key et additional.fields.value.string_value
Méthode de sélection de la passerelle (selection_type)	PanOSGatewaySelectionType		selection_type	additional.fields.key et additional.fields.value.string_value
Temps de réponse SSL (response_time)	PanOSSSLResponseTime		response_time	additional.fields.key et additional.fields.value.string_value
Priorité de la passerelle (priority)	PanOSGatewayPriority		priorité	additional.fields.key et additional.fields.value.string_value
Passerelles tentées (attempted_gateways)	PanOSAttemptedGateways		attempted_gateways	additional.fields.key et additional.fields.value.string_value
Nom de la passerelle (gateway)	PanOSAttemptedGateways		passerelle	target.resource.name
Hiérarchie des groupes d'appareils (dg_hier_level_1)			dg_hier_level_1	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_2)			dg_hier_level_2	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_3)			dg_hier_level_3	additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils (dg_hier_level_4)			dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)				intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)				intermediary.hostname
ID du système virtuel (vsys_id)				intermediary.resource.product_object_id
Gravité (severity)	number-of-severity(header)			security_result.severity et security_result.severity_details
Nom du cluster (cluster_name)				principal.resource.name

Corrélation

Le tableau suivant répertorie les champs de journal du type de journal de corrélation et leurs champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de génération (time_generated ou cef-formatted-time_generated)		startTime	generated_timestamp	metadata.event_timestamp
Adresse source (src)		src		principal.ip
Utilisateur source (srcuser)		SourceUser / usrName		principal.user.userid
Système virtuel (vsys)		VirtualSystem	vsys	intermediary.asset.attribute.labels.key/value
Category (catégorie)				security_result.category_details
Gravité (severity)		Gravité		security_result.severity et security_result.severity_details
Hiérarchie des groupes d'appareils : niveau 1		DeviceGroupHierarchyL1		additional.fields.key et additional.fields.value.string_value
Niveau 2 de la hiérarchie des groupes d'appareils		DeviceGroupHierarchyL2		additional.fields.key et additional.fields.value.string_value
Niveau 3 de la hiérarchie des groupes d'appareils		DeviceGroupHierarchyL3		additional.fields.key et additional.fields.value.string_value
Hiérarchie des groupes d'appareils : niveau 4		DeviceGroupHierarchyL4		additional.fields.key et additional.fields.value.string_value
Nom du système virtuel (vsys_name)		vSrcName		intermediary.asset.attribute.labels.key/value
Nom de l'appareil (device_name)		DeviceName		intermediary.hostname intermediary.asset.hostname target.hostname target.asset.hostname
ID du système virtuel (vsys_id)		VirtualSystemID		intermediary.resource.product_object_id
Nom de l'objet (objectname)		ObjectName		target.resource.name
ID d'objet (object_id)		ObjectID		target.resource.product_object_id
Preuve (evidence)		Message		security_result.summary

GTP

Le tableau suivant liste les champs de journal du type de journal gtp et leurs champs UDM correspondants.

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)				metadata.collected_timestamp, metadata.event_timestamp (si "Generate Time" est absent)
Numéro de série (serial)				intermediary.asset.hardware.serial_number
Type (type)				metadata.product_event_type
Type de menace/contenu (sous-type)				metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)				metadata.event_timestamp
Adresse source (src)				principal.ip
Adresse de destination (dst)				target.ip
Nom de la règle (rule)				security_result.rule_name
Application (appli)				network.application_protocol
Système virtuel (vsys)			vsys	intermediary.asset.attribute.labels.key/value
Zone source (de)			de	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)			à	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)			inbound_if	principal.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)			outbound_if	target.resource.attribute.labels.key/value additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)			logset	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)				network.session_id
Port source (sport)				principal.port
Port de destination (dport)				target.port
Protocole IP (proto)				network.ip_protocol
Action (action)				security_result.action_details security_result.action
Type d'événement GTP (event_type)			gtp_event_type	additional.fields.key et additional.fields.value.string_value
MSISDN (msisdn)			msisdn	additional.fields.key et additional.fields.value.string_value
Nom du point d'accès (APN)			apn	additional.fields.key et additional.fields.value.string_value
Technologie d'accès radio (rat)			rat	additional.fields.key et additional.fields.value.string_value
Type de message GTP (msg_type)			gtp_msg_type	additional.fields.key et additional.fields.value.string_value
Adresse IP de fin (end_ip_adr)				principal.ip
Identifiant de point de terminaison de tunnel 1 (teid1)			teid1	additional.fields.key et additional.fields.value.string_value
Identifiant de point de terminaison de tunnel 2 (teid2)			teid2	additional.fields.key et additional.fields.value.string_value
Interface GTP (gtp_interface)			gtp_interface	additional.fields.key et additional.fields.value.string_value
Cause GTP (cause_code)			gtp_cause_code	additional.fields.key et additional.fields.value.string_value
Gravité (severity)				security_result.severity et security_result.severity_details
MCC du réseau de diffusion (mcc)			mcc	additional.fields.key et additional.fields.value.string_value
MNC du réseau de diffusion (mnc)			mnc	additional.fields.key et additional.fields.value.string_value
Indicatif régional (area_code)			area_code	additional.fields.key et additional.fields.value.string_value
ID de cellule (cell_id)			cell_id	additional.fields.key et additional.fields.value.string_value
Code d'événement GTP (event_code)			event_code	additional.fields.key et additional.fields.value.string_value
Emplacement de la source (srcloc)				principal.location.country_or_region
Emplacement de la destination (dstloc)				target.location.country_or_region
ID du tunnel/IMSI (imsi)			tunnelid	additional.fields.key et additional.fields.value.string_value
Tag/IMEI du moniteur (imei)			monitortag	additional.fields.key et additional.fields.value.string_value
Heure de début (start)			start	additional.fields.key et additional.fields.value.string_value
Temps écoulé (elapsed)				network.session_duration.seconds
Tunnel de règle d'inspection de tunnel (tunnel_insp_rule)			tunnel_insp_rule	security_result.detection_fields.key/value
Adresse IP de l'utilisateur distant (remote_user_ip)				principal.ip
ID utilisateur distant (remote_user_id)			remote_user_id	principal.user.userid
UUID de la règle (rule_uuid)				security_result.rule_id
ID PCAP (pcap_id)			pcap_id	additional.fields.key et additional.fields.value.string_value
Code temporel haute résolution (high_res_timestamp)				additional.fields.key et additional.fields.value.string_value
Type de service de tranche (nsdsai_sst)			nsdsai_sst	additional.fields.key et additional.fields.value.string_value
Un différenciateur de tranche (nsdsai_sd)			nsdsai_sd	additional.fields.key et additional.fields.value.string_value
Sous-catégorie d'application (subcategory_of_app)			subcategory_of_app	additional.fields.key et additional.fields.value.string_value
Catégorie d'application (category_of_app)			category_of_app	additional.fields.key et additional.fields.value.string_value
Technologie de l'application (technology_of_app)			technology_of_app	additional.fields.key et additional.fields.value.string_value
Risque de l'application (risk_of_app)			risk_of_app	additional.fields.key et additional.fields.value.string_value
Caractéristique de l'application (characteristic_of_app)			characteristic_of_app	additional.fields.key et additional.fields.value.string_value
Conteneur d'application (container_of_app)			container_of_app	additional.fields.key et additional.fields.value.string_value
Application SaaS (is_saas_of_app)			is_saas_of_app	additional.fields.key et additional.fields.value.string_value
État d'approbation de l'application (sanctioned_state_of_app)			sanctioned_state_of_app	additional.fields.key et additional.fields.value.string_value

SCTP

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de réception (receive_time ou cef-formatted-receive_time)			receive_time ou cef-formatted-receive_time	metadata.collected_timestamp
Numéro de série (serial)			serial	intermediary.asset.hardware.serial_number
Type (type)			type	metadata.product_event_type
Heure de génération (time_generated ou cef-formatted-time_generated)			time_generated ou cef-formatted-time_generated	metadata.event_timestamp
Adresse source (src)			src	principal.ip
Adresse de destination (dst)			dst	target.ip
Nom de la règle (rule)			règle	security_result.rule_name
Zone source (de)			de	additional.fields.key et additional.fields.value.string_value
Zone de destination (vers)			à	additional.fields.key et additional.fields.value.string_value
Interface entrante (inbound_if)			inbound_if	additional.fields.key et additional.fields.value.string_value
Interface sortante (outbound_if)			outbound_if	additional.fields.key et additional.fields.value.string_value
Action de journalisation (logset)			logset	additional.fields.key et additional.fields.value.string_value
ID de session (sessionid)			sessionid	network.session_id
Nombre de répétitions (repeatcnt)			repeatcnt	additional.fields.key et additional.fields.value.string_value
Port source (sport)			sport	principal.port
Port de destination (dport)			dport	target.port
Protocole IP (proto)			proto	network.ip_protocol (enum)
Action (action)			action	security_result.action_details security_result.action
Hiérarchie des groupes d'appareils (dg_hier_level_1 à dg_hier_level_4)			dg_hier_level_1 à dg_hier_level_4	additional.fields.key et additional.fields.value.string_value
Nom de l'appareil (device_name)			device_name	intermediary.hostname
Numéro de séquence (seqno)			seqno	metadata.product_log_id
ID d'association SCTP (assoc_id)			assoc_id	additional.fields.key et additional.fields.value.string_value
ID de protocole de charge utile (PPID)			ppid	additional.fields.key et additional.fields.value.string_value
Gravité (severity)			de gravité,	security_result.severity et security_result.severity_details
Type de fragment SCTP (sctp_chunk_type)			sctp_chunk_type	additional.fields.key et additional.fields.value.string_value
Type d'événement SCTP (sctp_event_type)			sctp_event_type	additional.fields.key et additional.fields.value.string_value
Tag de validation SCTP 1 (verif_tag_1)			verif_tag_1	additional.fields.key et additional.fields.value.string_value
Tag de validation SCTP 2 (verif_tag_2)			verif_tag_2	additional.fields.key et additional.fields.value.string_value
Code de cause SCTP (sctp_cause_code)			sctp_cause_code	additional.fields.key et additional.fields.value.string_value
ID d'application Diameter (diam_app_id)			diam_app_id	additional.fields.key et additional.fields.value.string_value
Code de commande Diameter (diam_cmd_code)			diam_cmd_code	additional.fields.key et additional.fields.value.string_value
Code AVP Diameter (diam_avp_code)			diam_avp_code	additional.fields.key et additional.fields.value.string_value
ID de flux SCTP (stream_id)			stream_id	additional.fields.key et additional.fields.value.string_value
Motif de fin de l'association SCTP (assoc_end_reason)			assoc_end_reason	additional.fields.key et additional.fields.value.string_value
Code d'opération (op_code)			op_code	additional.fields.key et additional.fields.value.string_value
Numéro de sous-système de l'appelant SCCP (sccp_calling_ssn)			sccp_calling_ssn	additional.fields.key et additional.fields.value.string_value
Titre global de l'appelant SCCP (sccp_calling_gt)			sccp_calling_gt	additional.fields.key et additional.fields.value.string_value
Filtre SCTP (sctp_filter)			sctp_filter	additional.fields.key et additional.fields.value.string_value
Morceaux SCTP (chunks)			morceaux	additional.fields.key et additional.fields.value.string_value
Fragments SCTP envoyés (chunks_sent)			chunks_sent	additional.fields.key et additional.fields.value.string_value
Fragments SCTP reçus (chunks_received)			chunks_received	additional.fields.key et additional.fields.value.string_value
Paquets (packets)			paquets	additional.fields.key et additional.fields.value.string_value
UUID de la règle (rule_uuid)			rule_uuid	security_result.rule_id
Système virtuel (vsys)			vsys	intermediary.asset.attribute.labels.key/value
Nom du système virtuel (vsys_name)			vsys_name	intermediary.asset.attribute.labels.key/value
Paquets envoyés (pkts_sent)			pkts_sent	network.sent_packets
Paquets reçus (pkts_received)			pkts_received	network.received_packets

Audit

Champ CSV	Champ CEF	Champ LEEF	Clé d'étiquette Google Security Operations	Champ UDM
Heure de génération				metadata.event_timestamp
Type				metadata.product_event_type
Type de contenu (sous-type)				metadata.product_event_type
ID de l'événement				additional.fields.key et additional.fields.value.string_value
Objet				principal.user.userid
Description				metadata.description
État				additional.fields.key et additional.fields.value.string_value
Numéro de série				intermediary.asset.hardware.serial_number

Référence de mappage des champs : types de journaux vers types d'événements UDM

Le tableau suivant liste les types de journaux de pare-feu Palo Alto Networks et les types d'événements UDM correspondants.

Type de journal	Type d'événement UDM
Trafic	NETWORK_CONNECTION
Menace	NETWORK_CONNECTION
Filtrage des URL	NETWORK_CONNECTION
WildFire	SCAN_UNCATEGORIZED Les journaux d'envoi WildFire sont un sous-type du type de journal "Threat" et utilisent le même format syslog.
Filtrage des données	NETWORK_UNCATEGORIZED
Globalprotect	USER_LOGIN/USER_LOGOUT/USER_RESOURCE_ACCESS Si le champ de journal "ID d'événement" (eventid) contient la valeur "auth" ou "login", ou si le champ de journal "Étape" (stage) contient la valeur "login", USER_LOGIN est défini. Si le champ de journal "ID d'événement" (eventid) ou "Étape" (stage) contient la valeur "logout", USER_LOGOUT est défini. Si les champs de journal "ID de l'événement" (eventid) ou "Étape" (stage) contiennent une autre valeur, USER_RESOURCE_ACCESS est défini.
Tunnel	NETWORK_CONNECTION
GTP	NETWORK_CONNECTION
Configuration	SETTING_MODIFICATION/SETTING_CREATION/SETTING_DELETION/SETTING_UNCATEGORIZED La valeur du champ "Command (cmd)" détermine le mappage du type d'événement UDM. Si la valeur du champ "cmd" est "add" ou "clone", SETTING_CREATION est défini. Si la valeur du champ cmd est "delete", SETTING_DELETION est défini. Si la valeur du champ cmd est edit, move, rename, set ou commit, SETTING_MODIFICATION est défini. Si la valeur du champ cmd ne contient aucune valeur, SETTING_UNCATEGORIZED est défini.
Système	Si la valeur du sous-type est "dhcp", NETWORK_DHCP est défini. Si la valeur du sous-type est "auth", USER_LOGIN est défini. Si la valeur de la description est "connecté", USER_LOGIN est défini. Si la valeur de la description est "logged out", USER_LOGOUT est défini. Pour les autres valeurs du sous-type, GENERIC_EVENT est défini.
Correspondance HIP	NETWORK_CONNECTION
Balise IP	GENERIC_EVENT
User-ID	USER_LOGIN/USER_LOGOUT/USER_UNCATEGORIZED Si la valeur du sous-type est "login", USER_LOGIN est défini. Si la valeur du sous-type est "logout", USER_LOGOUT est défini. Si le sous-type ne contient aucune valeur, USER_UNCATEGORIZED est défini.
Déchiffrement	NETWORK_CONNECTION
Authentification	STATUS_UNCATEGORIZED
SCTP	NETWORK_CONNECTION
Audit	GENERIC_EVENT
CORRELATION	GENERIC_EVENT

Service de journalisation Strata du pare-feu Palo Alto Networks

Présentation

Le service de journalisation Strata de Palo Alto Networks fournit un stockage et une agrégation centralisés des journaux dans le cloud pour vos pare-feu sur site et virtuels (cloud privé et cloud public), pour Prisma Access et pour les services cloud tels que Cortex XDR. Strata Logging Service est sécurisé, résilient et tolérant aux pannes. Il permet de s'assurer que vos données de journalisation sont à jour et disponibles lorsque vous en avez besoin. Strata Logging Service fournit une infrastructure de journalisation évolutive qui évite d'avoir à planifier et à déployer des collecteurs de journaux pour répondre à vos besoins de conservation des journaux. Si vous disposez déjà de collecteurs de journaux sur site, Strata Logging Service peut compléter votre configuration existante pour étendre la capacité opérationnelle à mesure que votre entreprise se développe ou pour répondre aux besoins de capacité de nouveaux emplacements. Avec ce service, Palo Alto Networks gère la maintenance et la surveillance continues de l'infrastructure de journalisation.

Cette section explique comment configurer les pare-feu nouvelle génération (NGFW) Palo Alto Networks pour générer des journaux, les transférer vers Strata Logging Service et les envoyer à Google SecOps à l'aide d'un webhook HTTPS.

Le tableau suivant décrit les plates-formes, les modes de gestion, les versions de PAN-OS et les paramètres de destination compatibles pour ce déploiement :

Catégorie	Configurations compatibles
Plates-formes de pare-feu	Toutes les plates-formes NGFW de Palo Alto Networks : Matériel physique : séries PA-400, PA-800, PA-3200, PA-5200 et PA-7000 VM-Series : pare-feu virtuel sur VMware, AWS, Azure, Google Cloud, KVM et Hyper-V Série CN : pare-feu conteneurisé pour les environnements Kubernetes
Mode de gestion	Autonome : pare-feu géré directement à l'aide de l'UI Web ou de la CLI PAN-OS Géré par Panorama : géré de manière centralisée à l'aide d'un appareil Panorama ou de Panorama dans le cloud
Version de PAN-OS	PAN-OS 10.0 et versions ultérieures (11.x recommandé)
Destination Google SecOps	Google SecOps à l'aide du transfert de journaux HTTPS du service de journalisation Strata (formats de tableau JSON)

Avant de commencer

Avant de configurer le transfert de journaux via Strata Logging Service, vérifiez les conditions préalables suivantes :

• Vérifiez les formats de journaux et les versions de PAN-OS compatibles avec l'analyseur Strata Logging Service. Le tableau suivant liste les formats de journaux et les versions de PAN-OS correspondantes compatibles avec l'analyseur Strata Logging Service :

  Format du journal	Version de PAN-OS
  Tableau JSON	10.0 et versions ultérieures

• Vérifiez les types de journaux de pare-feu Palo Alto Networks compatibles avec l'analyseur Google SecOps. L'analyseur Google SecOps est compatible avec les types de journaux de pare-feu Palo Alto Networks suivants :

  • Trafic
  • Menace
  • Inspection de tunnels
  • Système
  • Correspondance HIP
  • IP-Tag
  • User-ID
  • Déchiffrement
  • Authentification
  • Filtrage des URL
  • GlobalProtect
  • SCTP
  • Audit
  • Configuration
  • DNS

• Version de PAN-OS : installez PAN-OS 10.0 ou une version ultérieure sur toutes les plates-formes de pare-feu (PA-Series, VM-Series et CN-Series). Pour obtenir des instructions générales sur la configuration du pare-feu, consultez le guide de l'administrateur PAN-OS et les conditions préalables au déploiement du service de journalisation Strata.

• Licence Strata Logging Service : assurez-vous que la licence PAN-LGS-DL est active sur le même compte Customer Support Portal (CSP) que le pare-feu.

• Cloud Logging activé sur toutes les plates-formes : sur chaque pare-feu, accédez à Appareil > Configuration > Gestion > Cloud Logging, sélectionnez Activer Cloud Logging, puis sélectionnez votre Région. Ce paramètre est requis pour les pare-feu VM-Series (PAVM), CN-Series et physiques.

  Remarque : Après avoir déployé un pare-feu VM-Series (PAVM), accédez à Device (Appareil) > Setup (Configuration) > Management (Gestion) > Cloud Logging et activez Cloud Logging avant de continuer. Le pare-feu n'enverra pas de journaux à Strata Logging Service tant que vous n'aurez pas explicitement activé ce paramètre.

• Accès au réseau et au pare-feu : assurez-vous que l'interface de gestion du pare-feu peut atteindre les noms de domaine complets (FQDN) suivants sur le port TCP 443 sans déchiffrement SSL :

  • api.paloaltonetworks.com
  • apitrusted.paloaltonetworks.com
  • certificate.paloaltonetworks.com
  • certificatetrusted.paloaltonetworks.com
  • lic.lc.prod.us.cs.paloaltonetworks.com

• Identifiants d'administrateur : assurez-vous de disposer du rôle Superuser ou device-admin sur le pare-feu et d'avoir accès à la console Strata Hub.

• URL du webhook Google SecOps : obtenez l'URL du point de terminaison HTTPS spécifique à la région à partir de votre instance Google SecOps (voir Étape 2 : Configurer le profil de transfert HTTPS).

• Certificat SSL/TLS : obtenez un certificat CA valide pour le webhook HTTPS. Les autorités de certification (CA) de confiance publique, telles que GlobalSign et DigiCert, sont pré-approuvées par Strata Logging Service. Si vous utilisez un certificat CA autosigné ou privé, vous devez l'importer manuellement.

• Plug-in Panorama (si géré par Panorama) : installez le plug-in Cloud Services 2.x ou version ultérieure sur Panorama.

Présentation de l'architecture

L'ingestion des journaux via Strata Logging Service suit un pipeline en trois étapes, de vos pare-feu PAN-OS à Google SecOps :

1. PAN-OS NGFW (PA-Series, VM-Series ou CN-Series) transfère les journaux via Cloud Logging (TLS sur le port TCP 443).
2. Strata Logging Service (https://stratacloudmanager.paloaltonetworks.com/) normalise, indexe et stocke les journaux dans un espace de stockage cloud régional.
3. Google SecOps (point de terminaison spécifique à la région chronicle.googleapis.com) reçoit des charges utiles de tableau JSON compressées au format GZIP depuis Strata Logging Service via un webhook HTTPS.

Le tableau suivant décrit chaque étape de l'architecture de transfert de journaux :

Étape	Composant	Transport	Description
Phase 1	NGFW PAN-OS (PA-Series, VM-Series, CN-Series ; autonome ou géré par Panorama)	Cloud Logging (TLS sur le port TCP 443)	Le pare-feu génère différents types de journaux. Un profil de transfert de journaux est attribué aux règles de stratégie de sécurité pour activer le transfert de journaux. Cloud Logging doit être explicitement activé sur chaque pare-feu.
Phase 2	Strata Logging Service ((https://stratacloudmanager.paloaltonetworks.com/), stockage cloud régional)	Stockage cloud (indexé et normalisé)	L'infrastructure de journalisation cloud native de Palo Alto Networks reçoit les journaux de tous les pare-feu intégrés, puis les normalise et les indexe. Ce service fournit l'application Log Forwarding pour transférer les journaux vers des plates-formes externes. Il accepte jusqu'à 200 destinations par instance.
Phase 3	Google SecOps (chronicle.googleapis.com, URL spécifique à la région)	Webhook HTTPS, tableau JSON (compressé au format GZIP)	La fonctionnalité Strata Log Forwarding envoie les journaux à Google SecOps à l'aide de requêtes HTTPS POST. Un certificat SSL/TLS et des identifiants d'autorisation de base permettent de sécuriser la connexion. L'URL Google SecOps doit correspondre à la région de votre service Strata Logging.

Phase 1 : Générer des journaux sur le pare-feu PAN-OS

Pour configurer votre pare-feu PAN-OS afin de générer et de transférer des journaux de sécurité et système, procédez comme suit :

1. Accédez à Appareil > Paramètres des journaux. Vérifiez que les journaux System (Système), Configuration et HIP Match (Correspondance HIP) sont actifs avec les niveaux de gravité appropriés (au moins Informational (Informationnel) pour les journaux System). PAN-OS génère automatiquement ces journaux au niveau du système sans nécessiter de profil supplémentaire.
2. Accédez à Objects > Log Forwarding > Add (Objets > Transfert de journaux > Ajouter) pour créer un profil de transfert de journaux. Définissez les types de journaux à transférer : Trafic, Menace, WildFire, Filtrage d'URL et Authentification. Attribuez un profil de serveur (Syslog ou HTTP) et configurez des filtres si nécessaire.
3. Accédez à Règles > Sécurité, modifiez chaque règle, puis sélectionnez l'onglet Actions. Sélectionnez votre profil de transfert de journaux, puis Journaliser à la fin de la session (et éventuellement Journaliser au début de la session). Cliquez sur OK, puis sur Commit.

Pour en savoir plus, consultez les ressources Palo Alto Networks suivantes :

• Configurer le transfert de journaux sur PAN-OS
• Configurer un profil de transfert de journaux
• Configurer la surveillance de syslog

Phase 2 : Intégrer et transférer les journaux vers Strata

Pour activer Strata Logging Service, intégrer vos pare-feu et vérifier la diffusion des journaux, procédez comme suit :

1. Connectez-vous à la console Strata Hub et activez votre licence PAN-LGS-DL. Sélectionnez votre compte CSP, votre locataire/TSG et la région où les journaux seront stockés.

2. Sur chaque pare-feu (y compris les séries PA, VM et CN), accédez à Appareil > Configuration > Gestion > Cloud Logging :

   1. Sélectionnez Activer Cloud Logging.
   2. Sélectionnez la région correspondant à votre instance Strata Logging Service.
   3. Facultatif : Pour envoyer des copies de journaux à la fois au service Strata Logging et à Panorama sur site, sélectionnez Activer la journalisation en double.
   4. Cliquez sur OK, puis sur Commit.
   Remarque : Dans les versions de PAN-OS antérieures à la version 10.1, ce paramètre peut s'afficher sous la forme Cortex Data Lake ou Logging Service. Pour les pare-feu de la série CN, accédez au volet Cloud Logging dans Panorama, sélectionnez Activer Cloud Logging, puis cliquez sur Commit & Push (Valider et transférer).

3. Vérifiez la connectivité entre le pare-feu et Strata Logging Service :

   1. Accédez à Appareil > Configuration > Gestion > Cloud Logging, puis cliquez sur Afficher l'état. Vérifiez que l'état indique Connecté.
   2. Ouvrez Strata Log Viewer dans la console Strata Hub pour vérifier que les journaux arrivent.

   3. Pour vérifier la connectivité à partir de la CLI PAN-OS, exécutez la commande suivante :

      show logging-status
      

4. Facultatif : Pour capturer les requêtes DNS, les chaînes d'agent utilisateur HTTP et les métadonnées de session (requises pour Cortex XSIAM et IoT Security), dans les paramètres Cloud Logging, sélectionnez Activer la journalisation améliorée des applications.

Avertissement : N'activez pas le déchiffrement SSL/TLS pour le trafic destiné aux noms de domaine complets du service Strata Logging. Strata Logging Service utilise l'authentification TLS mutuelle. L'activation du déchiffrement interrompt la connexion et arrête la diffusion des journaux.

Pour en savoir plus, consultez les ressources Palo Alto Networks suivantes :

• Intégrer des pare-feu à Strata Logging Service
• Commencer à envoyer des journaux à Strata Logging Service
• Prérequis et planification du déploiement de Strata Logging Service
• Guide pour intégrer et ingérer des journaux de pare-feu dans Strata

Phase 3 : Configurer un webhook HTTPS pour transférer les journaux

Pour transférer les journaux de Strata Logging Service vers Google SecOps à l'aide d'un webhook HTTPS, procédez comme suit :

Remarque : Un certificat CA valide doit être en place avant de pouvoir enregistrer ou tester le webhook HTTPS. Strata Logging Service utilise ce certificat pour authentifier votre récepteur HTTPS (authentification du serveur). Les autorités de certification de confiance publique, telles que GlobalSign et DigiCert, sont approuvées par défaut et ne nécessitent pas d'importation. Si vous utilisez une autorité de certification PKI autosignée ou privée, importez le fichier de certificat CA à l'aide de l'option Importer un certificat CA.

Étape 1 : Configurez un pipeline Google SecOps avec le processeur Unroll

Pour diviser les journaux de tableau JSON du service de journalisation Strata de Palo Alto Networks en événements de journaux individuels à l'aide du processeur Unroll, procédez comme suit :

1. Créez un flux de webhook pour le type de journal Palo Alto Networks Firewall (PAN_FIREWALL). Générez l'URL de webhook au format suivant :

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

2. Créez un pipeline de traitement des données Google SecOps et ajoutez un flux à l'aide du flux de webhook que vous avez créé.

3. Ajoutez un processeur Analyser le JSON pour analyser la charge utile JSON brute (obligatoire pour le processeur Dérouler).

4. Ajoutez un processeur Dérouler pour diviser les journaux de tableau JSON en événements de journal individuels, puis enregistrez et activez le pipeline.

Étape 2 : Configurer le profil de transfert HTTPS

1. Pour créer un profil de transfert HTTPS, connectez-vous à la console Strata Hub, ouvrez votre instance Strata Logging Service, puis accédez à Log Forwarding (Transfert de journaux) > Add (Ajouter).

2. Configurez le nom du profil et l'URL Google SecOps :

   • Nom du profil : saisissez un nom descriptif (par exemple, PAVM-Chronicle-HTTPS). Le type de profil est prédéfini sur Transfert de journaux.

   • URL : saisissez l'URL du webhook HTTPS Google SecOps spécifique à la région (commençant par https:// sur le port par défaut 443 au format ENDPOINT_URL?key=API_KEY&secret=SECRET) qui correspond à votre région Strata Logging Service, comme indiqué dans le tableau suivant.

     Pour en savoir plus, consultez Configurer un webhook SIEM.

   Région du service de journalisation Strata	URL d'ingestion Google SecOps
   États-Unis	https://chronicle.googleapis.com
   Europe	https://europe-chronicle.googleapis.com
   Asie	https://asia-southeast1-chronicle.googleapis.com

Étape 3 : Configurez l'authentification du serveur

Dans la section Authentification du serveur, configurez le certificat SSL/TLS pour votre point de terminaison HTTPS :

1. Si vous utilisez une autorité de certification autosignée ou privée, faites glisser le fichier de certificat CA ou cliquez sur Importer un certificat CA. Si vous utilisez une autorité de certification publiquement approuvée (par exemple, GlobalSign), les racines publiques par défaut sont déjà approuvées et aucune importation n'est requise. Cliquez sur Supprimer uniquement si vous devez remplacer un certificat existant.
2. Vérifiez que les informations sur le certificat correspondent à l'autorité de certification de votre point de terminaison. Assurez-vous que votre récepteur HTTPS présente un certificat TLS signé par cette autorité de certification. Si la chaîne de certificats ne correspond pas, l'étape Tester la connexion échoue.

Vous pouvez télécharger les certificats racine depuis la section Autorités de certification racine de la page Dépôt Google Trust Services.

Le tableau suivant présente des exemples d'informations sur les certificats affichés dans la section Authentification du serveur :

Champ "Certificat"	Exemple de valeur
Nom commun	GlobalSign Root CA
Date d'expiration	1/28/2028
Émis par	GlobalSign Root CA
Objectif	Authentification du serveur (vérifie le certificat TLS de votre récepteur HTTPS)

Étape 4 : Configurer l'authentification et l'autorisation du client

L'authentification du client permet à Google SecOps de vérifier que les requêtes entrantes proviennent de Strata Logging Service. L'autorisation du client fournit les identifiants que Strata Logging Service utilise lorsqu'il appelle votre point de terminaison Google SecOps.

Dans la section Autorisation du client, configurez les champs suivants :

• Type : sélectionnez Autorisation de base.
• Nom d'utilisateur : saisissez une valeur d'espace réservé, telle que test. Le point de terminaison HTTPS Google SecOps ne nécessite pas de nom d'utilisateur.
• Mot de passe : saisissez une valeur d'espace réservé, telle que test. Le point de terminaison HTTPS Google SecOps ne nécessite pas de mot de passe.

Le tableau suivant décrit la configuration de l'autorisation client pour Google SecOps :

Type d'autorisation	Cas d'utilisation	Configuration pour Google SecOps
Autorisation de base	Le récepteur HTTPS nécessite des identifiants (nom d'utilisateur et mot de passe)	Saisissez une valeur d'espace réservé, telle que test, pour le nom d'utilisateur et le mot de passe, car le point de terminaison HTTPS Google SecOps ne nécessite pas ces identifiants.

Étape 5 : Tester la connexion et enregistrer

1. Cliquez sur Tester la connexion en bas de la section Autorisation du client. Le service Strata Logging envoie une charge utile de test à votre point de terminaison HTTPS Google SecOps :
   • Réussite : l'état indique que la connexion a réussi. Cliquez sur Suivant.
   • Échec : vérifiez la correspondance du certificat CA, confirmez que l'URL Google SecOps correspond à votre région, vérifiez vos identifiants et assurez-vous que le point de terminaison accepte les charges utiles de tableau JSON compressées au format GZIP.
2. Une fois que Tester la connexion a réussi, cliquez sur Suivant.
3. Dans la liste Payload Format (Format de charge utile), sélectionnez Array JSON (Tableau JSON).

4. Sélectionnez les types de journaux à transférer vers Google SecOps :

   • Journaux de trafic (action = deny est recommandé pour les alertes de grande valeur)
   • Journaux des menaces (severity >= High)
   • Journaux WildFire
   • Journaux système et d'authentification (severity = Critical)

5. Cliquez sur Enregistrer. Générez un événement de test sur le pare-feu (par exemple, accédez à une URL bloquée) et vérifiez qu'il apparaît dans la console Google SecOps dans un délai de 1 à 5 minutes.

Pour en savoir plus, consultez les ressources Palo Alto Networks suivantes :

• Transférer les journaux vers un serveur HTTPS
• Transférer des journaux depuis Strata Logging Service
• Transférer des journaux vers un serveur Syslog
• Validation du certificat du serveur
• Notes de version de l'API Log Forwarding
• Référence des journaux Strata Logging Service
• Présentation de l'administration de Strata Logging Service

Formats de journaux compatibles

L'analyseur de pare-feu Palo Alto Networks Strata Logging Service accepte les journaux aux formats JSON et JSON Array.

Exemples de journaux compatibles

Les exemples de journaux suivants montrent les formats compatibles avec le service de journalisation Strata :

• Tableau JSON

  [{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:50.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.2",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/5",  "LogSetting": "IoT Security Default Profile",  "SessionID": 141475,  "RepeatCount": 1,  "SourcePort": 47343,  "DestinationPort": 53,  "NATSourcePort": 35449,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 354,  "BytesSent": 149,  "BytesReceived": 205,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:22.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796487925,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:51.048000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:51.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.5",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/8",  "LogSetting": "IoT Security Default Profile",  "SessionID": 195791,  "RepeatCount": 1,  "SourcePort": 53359,  "DestinationPort": 53,  "NATSourcePort": 51905,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 278,  "BytesSent": 133,  "BytesReceived": 145,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:22.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796487926,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:51.048000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:51.000000Z",  "SourceAddress": "198.51.100.6",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.2",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/5",  "LogSetting": "IoT Security Default Profile",  "SessionID": 262531,  "RepeatCount": 1,  "SourcePort": 56168,  "DestinationPort": 53,  "NATSourcePort": 32784,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 351,  "BytesSent": 149,  "BytesReceived": 202,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:23.000000Z",  "SessionDuration": 0,  "URLCategory": "any",  "SequenceNo": 7650419021796487928,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:51.048000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:53.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.2",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/5",  "LogSetting": "IoT Security Default Profile",  "SessionID": 76996,  "RepeatCount": 1,  "SourcePort": 49024,  "DestinationPort": 53,  "NATSourcePort": 9559,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 342,  "BytesSent": 145,  "BytesReceived": 197,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:24.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796489539,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:53.080000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null},{  "TimeReceived": "2026-06-23T10:20:00.000000Z",  "DeviceSN": "023201024129",  "LogType": "TRAFFIC",  "Subtype": "end",  "ConfigVersion": "11.2",  "TimeGenerated": "2026-06-23T10:19:53.000000Z",  "SourceAddress": "198.51.100.0",  "DestinationAddress": "198.51.100.1",  "NATSource": "198.51.100.5",  "NATDestination": "198.51.100.1",  "Rule": "PAMGMT_INTERNET_RULE",  "SourceUser": null,  "DestinationUser": null,  "Application": "dns-base",  "VirtualLocation": "vsys1",  "FromZone": "Vlan-Zone",  "ToZone": "outside",  "InboundInterface": "ethernet1/6.20",  "OutboundInterface": "ethernet1/8",  "LogSetting": "IoT Security Default Profile",  "SessionID": 117181,  "RepeatCount": 1,  "SourcePort": 43566,  "DestinationPort": 53,  "NATSourcePort": 37003,  "NATDestinationPort": 53,  "Protocol": "udp",  "Action": "allow",  "Bytes": 348,  "BytesSent": 148,  "BytesReceived": 200,  "PacketsTotal": 2,  "SessionStartTime": "2026-06-23T10:19:24.000000Z",  "SessionDuration": 1,  "URLCategory": "any",  "SequenceNo": 7650419021796489538,  "SourceLocation": "198.51.100.3-198.51.100.4",  "DestinationLocation": "US",  "PacketsSent": 1,  "PacketsReceived": 1,  "SessionEndReason": "aged-out",  "DGHierarchyLevel1": 0,  "DGHierarchyLevel2": 0,  "DGHierarchyLevel3": 0,  "DGHierarchyLevel4": 0,  "VirtualSystemName": "",  "DeviceName": "PA-450",  "ActionSource": "from-policy",  "SourceUUID": null,  "DestinationUUID": null,  "IMSI": 0,  "IMEI": null,  "ParentSessionID": 0,  "ParentStarttime": "1970-01-01T00:00:00.000000Z",  "Tunnel": "N/A",  "EndpointAssociationID": 0,  "ChunksTotal": 0,  "ChunksSent": 0,  "ChunksReceived": 0,  "RuleUUID": "29222f63-8656-476f-b70e-6ec3332ff5fe",  "HTTP2Connection": 0,  "LinkChangeCount": 0,  "SDWANPolicyName": null,  "LinkSwitches": null,  "SDWANCluster": null,  "SDWANDeviceType": null,  "SDWANClusterType": null,  "SDWANSite": null,  "DynamicUserGroupName": null,  "X-Forwarded-ForIP": "",  "SourceDeviceCategory": null,  "SourceDeviceProfile": null,  "SourceDeviceModel": null,  "SourceDeviceVendor": null,  "SourceDeviceOSFamily": null,  "SourceDeviceOSVersion": null,  "SourceDeviceHost": null,  "SourceDeviceMac": null,  "DestinationDeviceCategory": null,  "DestinationDeviceProfile": null,  "DestinationDeviceModel": null,  "DestinationDeviceVendor": null,  "DestinationDeviceOSFamily": null,  "DestinationDeviceOSVersion": null,  "DestinationDeviceHost": null,  "DestinationDeviceMac": null,  "ContainerID": null,  "ContainerNameSpace": null,  "ContainerName": null,  "SourceEDL": null,  "DestinationEDL": null,  "GPHostID": null,  "EndpointSerialNumber": null,  "SourceDynamicAddressGroup": null,  "DestinationDynamicAddressGroup": null,  "HASessionOwner": null,  "TimeGeneratedHighResolution": "2026-06-23T10:19:53.080000Z",  "NSSAINetworkSliceType": null,  "NSSAINetworkSliceDifferentiator": null}]
  

Référence de mappage de champs : champs de journaux vers champs UDM

Cette section explique comment l'analyseur mappe les champs des journaux de pare-feu du service de journalisation Strata de Palo Alto Networks aux champs d'événement UDM de Google SecOps pour chaque type de journal.

Consultez les sections suivantes pour obtenir la documentation de référence sur le mappage de chaque type de journal :

• Système
• Menace
• Trafic
• ID utilisateur
• Correspondance HIP
• Balise IP
• Déchiffrement
• Tunnel
• Authentification
• URL
• GlobalProtect
• SCTP
• Audit
• Config
• DNS

Système

Le tableau suivant liste les champs du type de journal "Système" et les champs UDM correspondants.

Log field	UDM mapping
AgentContentVersion	additional.fields.key/value.string_value
AgentDataCollectionStatus	target.resource.attribute.labels
AgentID	target.resource.attribute.labels
AgentIsolationStatus	target.resource.attribute.labels
AgentStatus	target.resource.attribute.labels
AgentVersion	target.asset.software.version
ConfigVersion	additional.fields.key/value.string_value
TenantID	metadata.product_deployment_id
DeviceGroup	target.group.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
EndpointCPUArchitecture	target.asset.hardware.cpu_platform
EndpointDeviceDomain	target.asset.administrative_domain
EndpointDeviceName	target.asset.hostname
EndpointIPaddress	target.asset.ip
VDIEndpoint	target.asset.attribute.labels
EndpointOSType	additional.fields.key/value.string_value
EndpointOSVersion	target.platform_version
AgentTimeZoneOffset	additional.fields.key/value.string_value
EndpointUserDomain	additional.fields.key/value.string_value
EndpointUserName	target.user.user_display_name
EndpointUserUUID	target.user.userid
EventComponent	additional.fields.key/value.string_value
EventDescription	metadata.description
EventName	additional.fields.key/value.string_value
EventTime	metadata.event_timestamp
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogCategory	security_result.category_details
LogSource	target.resource.attribute.labels
LogSourceGroupID	target.resource.attribute.labels
LogSourceID	target.resource.attribute.labels
LogSourceName	target.resource.attribute.labels
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
LogTime	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
Severity	security_result.severity
Subtype	metadata.product_event_type
Template	target.resource.attribute.labels
TimeGeneratedHighResolution	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details
VirtualLocation	target.asset.attribute.labels
VirtualSystemID	target.resource.product_object_id
VirtualSystemName	target.asset.attribute.labels

Menace

Le tableau suivant liste les champs du type de journal "Threat" et les champs UDM correspondants.

Log field	UDM mapping
Action	security_result.action
Application	target.application
ApplicationCategory	additional.fields.key/value.string_value
ApplicationSubcategory	additional.fields.key/value.string_value
ApplianceOrCloud	additional.fields.key/value.string_value
CloudHostname	additional.fields.key/value.string_value
CloudReportID	security_result.detection_fields.key/value
ConfigVersion	additional.fields.key/value.string_value
ContainerID	intermediary.resource.product_object_id
ApplicationContainer	additional.fields.key/value.string_value
ContentVersion	additional.fields.key/value.string_value
RepeatCount	additional.fields.key/value.string_value
CortexDataLakeTenantID	metadata.product_deployment_id
DestinationDeviceCategory	target.asset.category
DestinationDeviceClass	additional.fields.key/value.string_value
DestinationDeviceHost	target.asset.hostname
DestinationDeviceMac	target.asset.mac
DestinationDeviceModel	target.asset.hardware.model
DestinationDeviceOS	additional.fields.key/value.string_value
DestinationDeviceOSFamily	additional.fields.key/value.string_value
DestinationDeviceOSVersion	target.platform_version
DestinationDeviceProfile	additional.fields.key/value.string_value
DestinationDeviceVendor	target.asset.hardware.manufacturer
DestinationDynamicAddressGroup	target.group.group_display_name
DestinationEDL	additional.fields.key/value.string_value
DestinationAddress	target.ip
DestinationLocation	target.location.country_or_region
DestinationPort	target.port
DestinationUser	target.user.userid
DestinationUserDomain	target.administrative_domain
DestinationUserName	target.user.user_display_name
DestinationUserUUID	target.user.product_object_id
DestinationUUID	target.resource.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
DirectionOfAttack	security_result.detection_fields.key/value
DomainEDL	additional.fields.key/value.string_value
DynamicUserGroupName	additional.fields.key/value.string_value
EndpointSerialNumber	principal.asset.hardware.serial_number
FileName	target.file.names
FileHash	target.file.sha1
FileType	additional.fields.key/value.string_value
FileURL	target.url
FlowType	additional.fields.key/value.string_value
FromZone	additional.fields.key/value.string_value
HostID	principal.asset.asset_id
HTTP2Connection	network.application_protocol_version
HTTPMethod	network.http.method
InboundInterface	additional.fields.key/value.string_value
InboundInterfaceDetailsPort	additional.fields.key/value.string_value
InboundInterfaceDetailsSlot	additional.fields.key/value.string_value
InboundInterfaceDetailsType	additional.fields.key/value.string_value
InboundInterfaceDetailsUnit	additional.fields.key/value.string_value
CaptivePortal	additional.fields.key/value.string_value
IsClienttoServer	additional.fields.key/value.string_value
IsContainer	additional.fields.key/value.string_value
IsDecryptMirror	additional.fields.key/value.string_value
IsDecrypted	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
IsEncrypted	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsIPV6	additional.fields.key/value.string_value
IsMptcpOn	additional.fields.key/value.string_value
NAT	additional.fields.key/value.string_value
IsNonStandardDestinationPort	additional.fields.key/value.string_value
IsPacketCapture	additional.fields.key/value.string_value
IsPhishing	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
IsProxy	additional.fields.key/value.string_value
IsReconExcluded	additional.fields.key/value.string_value
IsSaaSApplication	additional.fields.key/value.string_value
IsServertoClient	additional.fields.key/value.string_value
IsSourceXForwarded	additional.fields.key/value.string_value
IsSystemReturn	additional.fields.key/value.string_value
IsTransaction	additional.fields.key/value.string_value
IsTunnelInspected	additional.fields.key/value.string_value
IsURLDenied	additional.fields.key/value.string_value
K8SClusterID	target.resource.attribute.labels
LocalDeepLearningAnalyzed	additional.fields.key/value.string_value
Location	observer.location.country_or_region
LogSetting	intermediary.resource.attribute.labels
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
IMEI	additional.fields.key/value.string_value
NATDestination	target.nat_ip
NATDestinationPort	target.nat_port
NATSource	principal.nat_ip
NATSourcePort	principal.nat_port
NonStandardDestinationPort	additional.fields.key/value.string_value
NSSAINetworkSliceType	additional.fields.key/value.string_value
OutboundInterface	additional.fields.key/value.string_value
OutboundInterfaceDetailsPort	additional.fields.key/value.string_value
OutboundInterfaceDetailsSlot	additional.fields.key/value.string_value
OutboundInterfaceDetailsType	additional.fields.key/value.string_value
OutboundInterfaceDetailsUnit	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
ParentSessionID	network.parent_session_id
ParentStarttime	additional.fields.key/value.string_value
PartialHash	additional.fields.key/value.string_value
PayloadProtocolID	additional.fields.key/value.string_value
Packet	additional.fields.key/value.string_value
PacketID	additional.fields.key/value.string_value
PlatformType	additional.fields.key/value.string_value
ContainerName	target.resource.name
ContainerNameSpace	target.resource.attribute.labels
Protocol	network.ip_protocol
RecipientEmail	target.user.email_addresses
ReportID	security_result.detection_fields.key/value
ApplicationRisk	additional.fields.key/value.string_value
Rule	security_result.rule_name
RuleUUID	security_result.rule_id
SanctionedStateOfApp	additional.fields.key/value.string_value
SenderEmail	principal.user.email_addresses
SequenceNo	metadata.product_log_id
SessionID	network.session_id
Severity	security_result.severity
SigFlags	additional.fields.key/value.string_value
SourceDeviceCategory	principal.asset.category
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceHost	principal.hostname
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOS	additional.fields.key/value.string_value
SourceDeviceOSFamily	additional.fields.key/value.string_value
SourceDeviceOSVersion	principal.platform_version
SourceDeviceProfile	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceDynamicAddressGroup	principal.group.group_display_name
SourceEDL	additional.fields.key/value.string_value
SourceAddress	principal.ip
SourceLocation	principal.location.country_or_region
SourcePort	principal.port
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SourceUUID	principal.resource.product_object_id
Subtype	metadata.product_event_type
EmailSubject	network.email.subject
ApplicationTechnology	additional.fields.key/value.string_value
ThreatCategory	security_result.detection_fields.key/value.key/value
ThreatID	security_result.threat_id
ThreatName	security_result.threat_name
ThreatNameFirewall	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
ToZone	additional.fields.key/value.string_value
Tunnel	additional.fields.key/value.string_value
TunneledApplication	additional.fields.key/value.string_value
IMSI	additional.fields.key/value.string_value
URLDomain	target.domain.name
URLCounter	additional.fields.key/value.string_value
Users	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details
Verdict	additional.fields.key/value.string_value
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels
X-Forwarded-ForIP	principal.ip

Trafic

Le tableau suivant liste les champs du type de journal "Traffic" et les champs UDM correspondants.

Log field	UDM mapping
Action	security_result.action
ActionSource	additional.fields.key/value.string_value
AIFwdError	additional.fields.key/value.string_value
AITraffic	additional.fields.key/value.string_value
Application	target.application
ApplicationCategory	additional.fields.key/value.string_value
ApplicationSubcategory	additional.fields.key/value.string_value
BytesReceived	network.received_bytes
BytesSent	network.sent_bytes
Bytes	additional.fields.key/value.string_value
ChunksReceived	additional.fields.key/value.string_value
ChunksSent	additional.fields.key/value.string_value
ChunksTotal	additional.fields.key/value.string_value
ConfigVersion	additional.fields.key/value.string_value
ContainerID	intermediary.resource.product_object_id
ApplicationContainer	additional.fields.key/value.string_value
RepeatCount	additional.fields.key/value.string_value
CortexDataLakeTenantID	metadata.product_deployment_id
DestinationDeviceCategory	target.asset.category
DestinationDeviceClass	additional.fields.key/value.string_value
DestinationDeviceHost	target.asset.hostname
DestinationDeviceMac	target.asset.mac
DestinationDeviceModel	target.asset.hardware.model
DestinationDeviceOS	additional.fields.key/value.string_value
DestinationDeviceOSFamily	additional.fields.key/value.string_value
DestinationDeviceOSVersion	target.platform_version
DestinationDeviceProfile	additional.fields.key/value.string_value
DestinationDeviceVendor	target.asset.hardware.manufacturer
DestinationDynamicAddressGroup	target.group.group_display_name
DestinationEDL	additional.fields.key/value.string_value
DestinationAddress	target.ip
DestinationLocation	target.location.country_or_region
DestinationPort	target.port
DestinationUser	target.user.userid
DestinationUserDomain	target.administrative_domain
DestinationUserName	target.user.user_display_name
DestinationUserUUID	target.user.product_object_id
DestinationUUID	target.resource.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
DynamicUserGroupName	additional.fields.key/value.string_value
EndpointSerialNumber	principal.asset.hardware.serial_number
EndpointAssociationID	additional.fields.key/value.string_value
FlowType	additional.fields.key/value.string_value
FromZone	additional.fields.key/value.string_value
HASessionOwner	additional.fields.key/value.string_value
GPHostID	additional.fields.key/value.string_value
HTTP2Connection	network.application_protocol_version
InboundInterface	additional.fields.key/value.string_value
InboundInterfaceDetailsPort	additional.fields.key/value.string_value
InboundInterfaceDetailsSlot	additional.fields.key/value.string_value
InboundInterfaceDetailsType	additional.fields.key/value.string_value
InboundInterfaceDetailsUnit	additional.fields.key/value.string_value
CaptivePortal	additional.fields.key/value.string_value
IsClienttoServer	additional.fields.key/value.string_value
IsContainer	additional.fields.key/value.string_value
IsDecryptMirror	additional.fields.key/value.string_value
IsDecrypted	additional.fields.key/value.string_value
IsDecryptedPayloadForward	additional.fields.key/value.string_value
IsDecryptedLog	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
IsEncrypted	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsIPV6	additional.fields.key/value.string_value
IsInspectionBeforeSession	additional.fields.key/value.string_value
IsMptcpOn	additional.fields.key/value.string_value
NAT	additional.fields.key/value.string_value
IsNonStandardDestinationPort	additional.fields.key/value.string_value
IsOffloaded	additional.fields.key/value.string_value
IsPacketCapture	additional.fields.key/value.string_value
IsPhishing	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
IsProxy	additional.fields.key/value.string_value
IsReconExcluded	additional.fields.key/value.string_value
IsSaaSApplication	additional.fields.key/value.string_value
IsServertoClient	additional.fields.key/value.string_value
IsSourceXForwarded	additional.fields.key/value.string_value
IsSystemReturn	additional.fields.key/value.string_value
IsTransaction	additional.fields.key/value.string_value
IsTunnelInspected	additional.fields.key/value.string_value
IsURLDenied	additional.fields.key/value.string_value
K8SClusterID	target.resource.attribute.labels
LinkChangeCount	additional.fields.key/value.string_value
LinkSwitches	additional.fields.key/value.string_value
Location	observer.location.country_or_region
LogSetting	intermediary.resource.attribute.labels
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
IMEI	additional.fields.key/value.string_value
NATDestination	target.nat_ip
NATDestinationPort	target.nat_port
NATSource	principal.nat_ip
NATSourcePort	principal.nat_port
NonStandardDestinationPort	additional.fields.key/value.string_value
NSSAINetworkSliceType	additional.fields.key/value.string_value
OutboundInterface	additional.fields.key/value.string_value
OutboundInterfaceDetailsPort	additional.fields.key/value.string_value
OutboundInterfaceDetailsSlot	additional.fields.key/value.string_value
OutboundInterfaceDetailsType	additional.fields.key/value.string_value
OutboundInterfaceDetailsUnit	additional.fields.key/value.string_value
PacketsReceived	network.received_packets
PacketsSent	network.sent_packets
PacketsTotal	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
ParentSessionID	network.parent_session_id
ParentStarttime	additional.fields.key/value.string_value
PlatformType	additional.fields.key/value.string_value
ContainerName	target.resource.name
ContainerNameSpace	target.resource.attribute.labels
SDWANPolicyName	additional.fields.key/value.string_value
Protocol	network.ip_protocol
ApplicationRisk	additional.fields.key/value.string_value
Rule	security_result.rule_name
RuleUUID	security_result.rule_id
SanctionedStateOfApp	additional.fields.key/value.string_value
SDWANFECRatio	additional.fields.key/value.string_value
SDWANCluster	additional.fields.key/value.string_value
SDWANClusterType	additional.fields.key/value.string_value
SDWANDeviceType	additional.fields.key/value.string_value
SDWANSite	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
SessionOwnerMidx	additional.fields.key/value.string_value
SessionEndReason	security_result.summary
SessionID	network.session_id
SessionStartTime	additional.fields.key/value.string_value
SessionTracker	additional.fields.key/value.string_value
SourceDeviceCategory	principal.asset.category
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceHost	principal.hostname
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOS	additional.fields.key/value.string_value
SourceDeviceOSFamily	additional.fields.key/value.string_value
SourceDeviceOSVersion	principal.platform_version
SourceDeviceProfile	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceDynamicAddressGroup	principal.group.group_display_name
SourceEDL	additional.fields.key/value.string_value
SourceAddress	principal.ip
SourceLocation	principal.location.country_or_region
SourcePort	principal.port
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SourceUUID	principal.resource.product_object_id
Subtype	metadata.product_event_type
ApplicationTechnology	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
ToZone	additional.fields.key/value.string_value
SessionDuration	network.session_duration
Tunnel	additional.fields.key/value.string_value
TunneledApplication	additional.fields.key/value.string_value
IMSI	additional.fields.key/value.string_value
URLCategory	target.url_metadata.categories
Users	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels
X-Forwarded-ForIP	principal.ip

User-ID

Le tableau suivant liste les champs de journal du type de journal User-Id et les champs UDM correspondants.

Log field	UDM mapping
AuthFactorNo	security_result.detection_fields.key/value
AuthenticatedUserDomain	target.user.administrative_domain
AuthenticatedUserName	target.user.userid
AuthenticatedUserUUID	target.user.product_object_id
ConfigVersion	additional.fields.key/value.string_value
CountofRepeats	additional.fields.key/value.string_value
CortexDataLakeTenantID	metadata.product_deployment_id
DestinationPort	target.port
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
EventID	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
IsDuplicateUser	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaNetworks	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
MappingDataSource	additional.fields.key/value.string_value
MappingDataSourceName	additional.fields.key/value.string_value
MappingDataSourceType	additional.fields.key/value.string_value
MappingTimeout	additional.fields.key/value.string_value
MFAFactorType	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
SourceIP	principal.ip
SourcePort	principal.port
Subtype	metadata.product_event_type
Tag	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
UGFlags	additional.fields.key/value.string_value
User	target.user.userid
UserGroupFound	additional.fields.key/value.string_value
UserIdentifiedBySource	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels

Correspondance HIP

Le tableau suivant liste les champs de journal du type de journal de correspondance HIP et leurs champs UDM correspondants.

Log field	UDM mapping
ConfigVersion	additional.fields.key/value.string_value
CountOfRepeats	additional.fields.key/value.string_value
TenantID	metadata.product_deployment_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
EndpointDeviceName	principal.asset.hostname
EndpointOSType	additional.fields.key/value.string_value
EndpointSerialNumber	principal.asset.hardware.serial_number
HipMatchName	target.resource.attribute.labels
HipMatchType	target.resource.attribute.labels
HostID	principal.asset.asset_id
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaNetworks	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	target.asset.hardware.serial_number
DeviceName	target.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	metadata.product_event_type
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
Source	additional.fields.key/value.string_value
SourceDeviceCategory	principal.asset.category
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceHost	principal.hostname
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOS	additional.fields.key/value.string_value
SourceDeviceOSFamily	additional.fields.key/value.string_value
SourceDeviceOSVersion	principal.platform_version
SourceDeviceProfile	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceIP	principal.ip
SourceIPv6	principal.ip
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
Subtype	metadata.product_event_type
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
TimestampDeviceIdentification	principal.asset.first_seen_time
UUID	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualLocation	target.asset.attribute.labels
VirtualSystemID	target.resource.product_object_id
VirtualSystemName	target.asset.attribute.labels

Tag IP

Le tableau suivant liste les champs de journal du type de journal de tag d'adresse IP et les champs UDM correspondants.

Log field	UDM mapping
ConfigVersion	additional.fields.key/value.string_value
CountOfRepeats	additional.fields.key/value.string_value
TenantID	metadata.product_deployment_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
EventID	additional.fields.key/value.string_value
IPSubnetRange	network.ip_subnet_range
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaNetworks	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogSetting	target.resource.attribute.labels
LogSource	target.resource.attribute.labels
LogSourceGroupID	target.resource.attribute.labels
DeviceSN	target.asset.hardware.serial_number
DeviceName	target.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
MappingDataSource	additional.fields.key/value.string_value
MappingDataSourceSubType	additional.fields.key/value.string_value
MappingDataSourceType	additional.fields.key/value.string_value
MappingTimeout	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
RuleMatched	security_result.rule_name
RuleMatchedUUID	security_result.rule_id
SequenceNo	metadata.product_log_id
SourceIP	principal.ip
Subtype	metadata.product_event_type
TagName	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualLocation	target.asset.attribute.labels
VirtualSystemID	target.resource.product_object_id
VirtualSystemName	target.asset.attribute.labels

Déchiffrement

Le tableau suivant liste les champs de journal du type de journal "Decryption" et les champs UDM correspondants.

Log field	UDM mapping
Action	security_result.action
Application	target.application
ApplicationCategory	additional.fields.key/value.string_value
ApplicationSubcategory	additional.fields.key/value.string_value
CertificateFlags	additional.fields.key/value.string_value
CertificateSerial	network.tls.server.certificate.serial
CertificateSize	additional.fields.key/value.string_value
CertificateVersion	network.tls.server.certificate.version
ChainStatus	additional.fields.key/value.string_value
ApplicationCharacteristics	additional.fields.key/value.string_value
ClientToFirewall	additional.fields.key/value.string_value
CommonName	additional.fields.key/value.string_value
CommonNameLength	additional.fields.key/value.string_value
ContainerID	intermediary.resource.product_object_id
ApplicationContainer	additional.fields.key/value.string_value
Cpadding	additional.fields.key/value.string_value
DestinationDeviceCategory	target.asset.category
DestinationDeviceClass	additional.fields.key/value.string_value
DestinationDeviceHost	target.asset.hostname
DestinationDeviceMac	target.asset.mac
DestinationDeviceModel	target.asset.hardware.model
DestinationDeviceOS	additional.fields.key/value.string_value
DestinationDeviceOSFamily	additional.fields.key/value.string_value
DestinationDeviceOSVersion	target.platform_version
DestinationDeviceProfile	additional.fields.key/value.string_value
DestinationDeviceVendor	target.asset.hardware.manufacturer
DestinationDynamicAddressGroup	target.group.group_display_name
DestinationEDL	additional.fields.key/value.string_value
DestinationAddress	target.ip
DestinationLocation	target.location.country_or_region
DestinationPort	target.port
DestinationUser	target.user.userid
DestinationUserDomain	target.administrative_domain
DestinationUserName	target.user.user_display_name
DestinationUserUUID	target.user.product_object_id
DestinationUUID	target.resource.product_object_id
Domain	target.hostname
EllipticCurve	network.tls.curve
ErrorIndex	additional.fields.key/value.string_value
ErrorMessage	additional.fields.key/value.string_value
Fingerprint	network.tls.server.certificate.md5/sha1/sha256
FirewallToClient	additional.fields.key/value.string_value
FromZone	additional.fields.key/value.string_value
InboundInterface	additional.fields.key/value.string_value
InboundInterfaceDetailsPort	additional.fields.key/value.string_value
InboundInterfaceDetailsSlot	additional.fields.key/value.string_value
InboundInterfaceDetailsType	additional.fields.key/value.string_value
InboundInterfaceDetailsUnit	additional.fields.key/value.string_value
CaptivePortal	additional.fields.key/value.string_value
IsCertECDSA	additional.fields.key/value.string_value
IsCertRSA	additional.fields.key/value.string_value
IsCertCNTruncated	additional.fields.key/value.string_value
IsClienttoServer	additional.fields.key/value.string_value
IsContainer	additional.fields.key/value.string_value
IsDecryptMirror	additional.fields.key/value.string_value
IsDecrypted	additional.fields.key/value.string_value
IsEncrypted	additional.fields.key/value.string_value
IsForwarded	additional.fields.key/value.string_value
IsIPV6	additional.fields.key/value.string_value
IsIssuerCNTruncated	additional.fields.key/value.string_value
IsMptcpOn	additional.fields.key/value.string_value
IsNAT	additional.fields.key/value.string_value
IsNonStandardDestinationPort	additional.fields.key/value.string_value
PacketCapture	additional.fields.key/value.string_value
IsPhishing	additional.fields.key/value.string_value
IsProxy	additional.fields.key/value.string_value
IsReconExcluded	additional.fields.key/value.string_value
IsResumeSession	additional.fields.key/value.string_value
IsRootCNTruncated	additional.fields.key/value.string_value
IsSaaSApplication	additional.fields.key/value.string_value
IsServertoClient	additional.fields.key/value.string_value
IsSNITruncated	additional.fields.key/value.string_value
IsSourceXForwarded	additional.fields.key/value.string_value
IsSystemReturn	additional.fields.key/value.string_value
IsTransaction	additional.fields.key/value.string_value
IsTunnelInspected	additional.fields.key/value.string_value
IsURLDenied	additional.fields.key/value.string_value
IssuerCommonName	network.tls.server.certificate.issuer
IssuerNameLength	additional.fields.key/value.string_value
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
NATDestination	target.nat_ip
NATDestinationPort	target.nat_port
NATSource	principal.nat_ip
NATSourcePort	principal.nat_port
TimeNotAfter	additional.fields.key/value.string_value
TimeNotBefore	additional.fields.key/value.string_value
OutboundInterface	additional.fields.key/value.string_value
OutboundInterfaceDetailsPort	additional.fields.key/value.string_value
OutboundInterfaceDetailsSlot	additional.fields.key/value.string_value
OutboundInterfaceDetailsType	additional.fields.key/value.string_value
OutboundInterfaceDetailsUnit	additional.fields.key/value.string_value
Padding	additional.fields.key/value.string_value
Padding3	additional.fields.key/value.string_value
ContainerName	target.resource.name
ContainerNameSpace	target.resource.attribute.labels
PolicyName	additional.fields.key/value.string_value
Protocol	network.ip_protocol
ProxyType	additional.fields.key/value.string_value
ApplicationRisk	additional.fields.key/value.string_value
RootCommonName	additional.fields.key/value.string_value
RootCNLength	additional.fields.key/value.string_value
RootStatus	additional.fields.key/value.string_value
Rule	security_result.rule_name
RuleUUID	security_result.rule_id
SanctionedStateOfApp	additional.fields.key/value.string_value
SessionID	network.session_id
ServerNameIndication	network.tls.client.server_name
SNILength	additional.fields.key/value.string_value
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceOS	additional.fields.key/value.string_value
SourceDynamicAddressGroup	principal.group.group_display_name
SourceEDL	additional.fields.key/value.string_value
SourceAddress	principal.ip
SourceLocation	principal.location.country_or_region
SourcePort	principal.port
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SourceUUID	principal.resource.product_object_id
ApplicationTechnology	additional.fields.key/value.string_value
TimeReceivedManagementPlane	additional.fields.key/value.string_value
TLSAuth	additional.fields.key/value.string_value
TLSEncryptionAlgorithm	additional.fields.key/value.string_value
TLSKeyExchange	additional.fields.key/value.string_value
TLSVersion	network.tls.version
ToZone	additional.fields.key/value.string_value
Tpadding	additional.fields.key/value.string_value
Tunnel	additional.fields.key/value.string_value
TunneledApplication	additional.fields.key/value.string_value
Vpadding	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogSetting	intermediary.resource.attribute.labels
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
SourceDeviceCategory	principal.asset.category
SourceDeviceHost	principal.hostname
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOSFamily	additional.fields.key/value.string_value
SourceDeviceOSVersion	principal.platform_version
SourceDeviceProfile	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
Subtype	metadata.product_event_type
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels

Tunnel

Le tableau suivant liste les champs de journal du type de journal Tunnel et les champs UDM correspondants.

Log field	UDM mapping
AccessPointName	additional.fields.key/value.string_value
Action	security_result.action
ActionSource	additional.fields.key/value.string_value
Application	target.application
ApplicationCategory	additional.fields.key/value.string_value
ApplicationSubcategory	additional.fields.key/value.string_value
BytesReceived	network.received_bytes
BytesSent	network.sent_bytes
Bytes	additional.fields.key/value.string_value
ConfigVersion	additional.fields.key/value.string_value
ContainerID	intermediary.resource.product_object_id
ApplicationContainer	additional.fields.key/value.string_value
ContentVersion	additional.fields.key/value.string_value
RepeatCount	additional.fields.key/value.string_value
LoggingServiceID	additional.fields.key/value.string_value
DestinationDeviceClass	additional.fields.key/value.string_value
DestinationDeviceMac	target.asset.mac
DestinationDeviceModel	target.asset.hardware.model
DestinationDeviceOS	additional.fields.key/value.string_value
DestinationDeviceVendor	target.asset.hardware.manufacturer
DestinationDynamicAddressGroup	target.group.group_display_name
DestinationEDL	additional.fields.key/value.string_value
DestinationAddress	target.ip
DestinationLocation	target.location.country_or_region
DestinationPort	target.port
DestinationUser	target.user.userid
DestinationUserDomain	target.administrative_domain
DestinationUserName	target.user.user_display_name
DestinationUserUUID	target.user.product_object_id
DestinationUUID	target.resource.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
DynamicUserGroupName	additional.fields.key/value.string_value
FromZone	additional.fields.key/value.string_value
InboundInterface	additional.fields.key/value.string_value
InboundInterfaceDetailsPort	additional.fields.key/value.string_value
InboundInterfaceDetailsSlot	additional.fields.key/value.string_value
InboundInterfaceDetailsType	additional.fields.key/value.string_value
InboundInterfaceDetailsUnit	additional.fields.key/value.string_value
CaptivePortal	additional.fields.key/value.string_value
IsClienttoServer	additional.fields.key/value.string_value
IsContainer	additional.fields.key/value.string_value
IsDecryptMirror	additional.fields.key/value.string_value
IsDecryptedPayloadForward	additional.fields.key/value.string_value
IsDecryptedLog	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsIPV6	additional.fields.key/value.string_value
IsInspectionBeforeSession	additional.fields.key/value.string_value
IsMptcpOn	additional.fields.key/value.string_value
NAT	additional.fields.key/value.string_value
IsNonStandardDestinationPort	additional.fields.key/value.string_value
IsPacketCapture	additional.fields.key/value.string_value
IsPhishing	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
IsProxy	additional.fields.key/value.string_value
IsReconExcluded	additional.fields.key/value.string_value
IsSaaSApplication	additional.fields.key/value.string_value
IsServertoClient	additional.fields.key/value.string_value
IsSourceXForwarded	additional.fields.key/value.string_value
IsSystemReturn	additional.fields.key/value.string_value
IsTransaction	additional.fields.key/value.string_value
IsTunnelInspected	additional.fields.key/value.string_value
IsURLDenied	additional.fields.key/value.string_value
LogSetting	intermediary.resource.attribute.labels
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
MobileAreaCode	additional.fields.key/value.string_value
MobileBaseStationCode	additional.fields.key/value.string_value
MobileCountryCode	additional.fields.key/value.string_value
MobileIP	additional.fields.key/value.string_value
MobileNetworkCode	additional.fields.key/value.string_value
MobileSubscriberISDN	additional.fields.key/value.string_value
IMEI	additional.fields.key/value.string_value
NATDestination	target.nat_ip
NATDestinationPort	target.nat_port
NATSource	principal.nat_ip
NATSourcePort	principal.nat_port
NonStandardDestinationPort	additional.fields.key/value.string_value
NSSAINetworkSliceDifferentiator	additional.fields.key/value.string_value
NSSAINetworkSliceType	additional.fields.key/value.string_value
OutboundInterface	additional.fields.key/value.string_value
OutboundInterfaceDetailsPort	additional.fields.key/value.string_value
OutboundInterfaceDetailsSlot	additional.fields.key/value.string_value
OutboundInterfaceDetailsType	additional.fields.key/value.string_value
OutboundInterfaceDetailsUnit	additional.fields.key/value.string_value
PacketsDroppedMax	additional.fields.key/value.string_value
PacketsDroppedStrict	additional.fields.key/value.string_value
PacketsDroppedTunnel	additional.fields.key/value.string_value
PacketsDroppedProtocol	additional.fields.key/value.string_value
PacketsReceived	network.received_packets
PacketsSent	network.sent_packets
PacketsTotal	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
ParentSessionID	network.parent_session_id
ParentStarttime	additional.fields.key/value.string_value
ProtocolDataUnitsessionID	additional.fields.key/value.string_value
PlatformType	additional.fields.key/value.string_value
ContainerName	target.resource.name
ContainerNameSpace	target.resource.attribute.labels
Protocol	network.ip_protocol
RadioAccessTechnology	additional.fields.key/value.string_value
ApplicationRisk	additional.fields.key/value.string_value
Rule	security_result.rule_name
RuleUUID	security_result.rule_id
SanctionedStateOfApp	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
SessionOwnerMidx	additional.fields.key/value.string_value
SessionEndReason	security_result.summary
SessionID	network.session_id
SessionStartTime	additional.fields.key/value.string_value
SessionTracker	additional.fields.key/value.string_value
Severity	security_result.severity
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOS	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceDynamicAddressGroup	principal.group.group_display_name
SourceEDL	additional.fields.key/value.string_value
SourceAddress	principal.ip
SourceLocation	principal.location.country_or_region
SourcePort	principal.port
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SourceUUID	principal.resource.product_object_id
StandardPortsOfApp	additional.fields.key/value.string_value
Subtype	metadata.product_event_type
ApplicationTechnology	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
ToZone	additional.fields.key/value.string_value
SessionDuration	network.session_duration
Tunnel	additional.fields.key/value.string_value
TunnelCauseCode	additional.fields.key/value.string_value
TunnelEndpointID1	additional.fields.key/value.string_value
TunnelEndpointID2	additional.fields.key/value.string_value
TunnelEventCode	additional.fields.key/value.string_value
TunnelEventType	additional.fields.key/value.string_value
TunnelInspectionRule	additional.fields.key/value.string_value
TunnelInterface	additional.fields.key/value.string_value
TunnelMessageType	additional.fields.key/value.string_value
TunnelRemoteIMSIID	additional.fields.key/value.string_value
TunnelRemoteUserIP	principal.ip
TunnelSessionsClosed	additional.fields.key/value.string_value
TunnelSessionsCreated	additional.fields.key/value.string_value
TunneledApplication	additional.fields.key/value.string_value
IMSI	additional.fields.key/value.string_value
URLCategory	target.url_metadata.categories
Users	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels

Authentification

Le tableau suivant liste les champs de journal du type de journal "Authentication" et les champs UDM correspondants.

Log field	UDM mapping
AuthenticationDescription	security_result.description
AuthEvent	metadata.description
AuthFactorNo	security_result.detection_fields.key/value
AuthenticationPolicy	security_result.detection_fields.key/value
AuthenticationProtocol	additional.fields.key/value.string_value
AuthServerProfile	additional.fields.key/value.string_value
AuthenticatedUserDomain	target.administrative_domain
AuthenticatedUserName	target.user.userid
AuthenticatedUserUUID	target.user.product_object_id
ClientType	additional.fields.key/value.string_value
ClientTypeName	additional.fields.key/value.string_value
CountOfRepeats	additional.fields.key/value.string_value
CortexDataLakeTenantID	metadata.product_deployment_id
IsPrismaNetworks	additional.fields.key/value.string_value
Location	target.location.country_or_region
LogSetting	intermediary.resource.attribute.labels
LogType	additional.fields.key/value.string_value
MFAAuthenticationID	additional.fields.key/value.string_value
MFAVendor	additional.fields.key/value.string_value
NormalizeUser	target.user.user_display_name
Object	target.resource.name
RuleMatched	security_result.rule_name
RuleMatchedUUID	security_result.rule_id
AuthCacheServiceRegion	additional.fields.key/value.string_value
SessionID	network.session_id
SourceDeviceCategory	principal.asset.category
SourceDeviceHost	principal.hostname
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOSFamily	additional.fields.key/value.string_value
SourceDeviceOSVersion	principal.platform_version
SourceDeviceProfile	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceIP	principal.ip
TimeGenerated	metadata.event_timestamp
User	target.user.userid
UserAgentString	network.http.user_agent
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
Subtype	metadata.product_event_type
TimeGeneratedHighResolution	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels

URL

Le tableau suivant liste les champs de journal du type de journal d'URL et les champs UDM correspondants.

Log field	UDM mapping
Action	security_result.action
Application	target.application
ApplicationCategory	additional.fields.key/value.string_value
ApplicationSubcategory	additional.fields.key/value.string_value
CloudHostname	additional.fields.key/value.string_value
CloudReportID	security_result.detection_fields.key/value
ConfigVersion	additional.fields.key/value.string_value
ContainerID	intermediary.resource.product_object_id
ApplicationContainer	additional.fields.key/value.string_value
ContentType	additional.fields.key/value.string_value
ContentVersion	additional.fields.key/value.string_value
RepeatCount	additional.fields.key/value.string_value
CortexDataLakeTenantID	metadata.product_deployment_id
DestinationDeviceCategory	target.asset.category
DestinationDeviceClass	additional.fields.key/value.string_value
DestinationDeviceHost	target.asset.hostname
DestinationDeviceMac	target.asset.mac
DestinationDeviceModel	target.asset.hardware.model
DestinationDeviceOS	additional.fields.key/value.string_value
DestinationDeviceOSFamily	additional.fields.key/value.string_value
DestinationDeviceOSVersion	target.platform_version
DestinationDeviceProfile	additional.fields.key/value.string_value
DestinationDeviceVendor	target.asset.hardware.manufacturer
DestinationDynamicAddressGroup	target.group.group_display_name
DestinationEDL	additional.fields.key/value.string_value
DestinationAddress	target.ip
DestinationLocation	target.location.country_or_region
DestinationPort	target.port
DestinationUser	target.user.userid
DestinationUserDomain	target.administrative_domain
DestinationUserName	target.user.user_display_name
DestinationUserUUID	target.user.product_object_id
DestinationUUID	target.resource.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
DirectionOfAttack	security_result.detection_fields.key/value
DynamicUserGroupName	additional.fields.key/value.string_value
EndpointSerialNumber	principal.asset.hardware.serial_number
FileURL	target.url
FlowType	additional.fields.key/value.string_value
FromZone	additional.fields.key/value.string_value
HostID	principal.asset.asset_id
HTTP2Connection	network.application_protocol_version
HTTPHeaders	additional.fields.key/value.string_value
HTTPMethod	network.http.method
InboundInterface	additional.fields.key/value.string_value
InboundInterfaceDetailsPort	additional.fields.key/value.string_value
InboundInterfaceDetailsSlot	additional.fields.key/value.string_value
InboundInterfaceDetailsType	additional.fields.key/value.string_value
InboundInterfaceDetailsUnit	additional.fields.key/value.string_value
InlineMLVerdict	additional.fields.key/value.string_value
CaptivePortal	additional.fields.key/value.string_value
IsClienttoServer	additional.fields.key/value.string_value
IsContainer	additional.fields.key/value.string_value
IsDecryptMirror	additional.fields.key/value.string_value
IsDecrypted	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
IsEncrypted	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsIPV6	additional.fields.key/value.string_value
IsMptcpOn	additional.fields.key/value.string_value
NAT	additional.fields.key/value.string_value
IsNonStandardDestinationPort	additional.fields.key/value.string_value
IsPacketCapture	additional.fields.key/value.string_value
IsPhishing	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
IsProxy	additional.fields.key/value.string_value
IsReconExcluded	additional.fields.key/value.string_value
IsSaaSApplication	additional.fields.key/value.string_value
IsServertoClient	additional.fields.key/value.string_value
IsSourceXForwarded	additional.fields.key/value.string_value
IsSystemReturn	additional.fields.key/value.string_value
IsTransaction	additional.fields.key/value.string_value
IsTunnelInspected	additional.fields.key/value.string_value
IsURLDenied	additional.fields.key/value.string_value
K8SClusterID	target.resource.attribute.labels
Location	observer.location.country_or_region
LogSetting	intermediary.resource.attribute.labels
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
IMEI	additional.fields.key/value.string_value
NATDestination	target.nat_ip
NATDestinationPort	target.nat_port
NATSource	principal.nat_ip
NATSourcePort	principal.nat_port
NonStandardDestinationPort	additional.fields.key/value.string_value
NSSAINetworkSliceType	additional.fields.key/value.string_value
OutboundInterface	additional.fields.key/value.string_value
OutboundInterfaceDetailsPort	additional.fields.key/value.string_value
OutboundInterfaceDetailsSlot	additional.fields.key/value.string_value
OutboundInterfaceDetailsType	additional.fields.key/value.string_value
OutboundInterfaceDetailsUnit	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
ParentSessionID	network.parent_session_id
ParentStarttime	additional.fields.key/value.string_value
Packet	additional.fields.key/value.string_value
PacketID	additional.fields.key/value.string_value
PlatformType	additional.fields.key/value.string_value
ContainerName	target.resource.name
ContainerNameSpace	target.resource.attribute.labels
Protocol	network.ip_protocol
Referer	network.http.referral_url
HTTPRefererFQDN	additional.fields.key/value.string_value
HTTPRefererPort	additional.fields.key/value.string_value
HTTPRefererProtocol	additional.fields.key/value.string_value
HTTPRefererURLPath	additional.fields.key/value.string_value
ApplicationRisk	additional.fields.key/value.string_value
Rule	security_result.rule_name
RuleUUID	security_result.rule_id
SanctionedStateOfApp	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
SessionID	network.session_id
Severity	security_result.severity
SigFlags	additional.fields.key/value.string_value
SourceDeviceCategory	principal.asset.category
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceHost	principal.hostname
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOS	additional.fields.key/value.string_value
SourceDeviceOSFamily	additional.fields.key/value.string_value
SourceDeviceOSVersion	principal.platform_version
SourceDeviceProfile	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceDynamicAddressGroup	principal.group.group_display_name
SourceEDL	additional.fields.key/value.string_value
SourceAddress	principal.ip
SourceLocation	principal.location.country_or_region
SourcePort	principal.port
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SourceUUID	principal.resource.product_object_id
Subtype	metadata.product_event_type
ApplicationTechnology	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
ToZone	additional.fields.key/value.string_value
Tunnel	additional.fields.key/value.string_value
TunneledApplication	additional.fields.key/value.string_value
IMSI	additional.fields.key/value.string_value
URL	target.url_metadata.URL
URLCategory	target.url_metadata.categories
URLCategoryList	additional.fields.key/value.string_value
URLDomain	target.domain.name
URLCounter	additional.fields.key/value.string_value
UserAgent	network.http.user_agent
Users	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels
X-Forwarded-For	additional.fields.key/value.string_value
X-Forwarded-ForIP	principal.ip

GlobalProtect

Le tableau suivant liste les champs de journal du type de journal GlobalProtect et les champs UDM correspondants.

Log field	UDM mapping
AttemptedGateways	additional.fields.key/value.string_value
AuthMethod	extensions.auth.auth_details
ConnectionMethod	additional.fields.key/value.string_value
ConnectionErrorID	additional.fields.key/value.string_value
ConnectionError	additional.fields.key/value.string_value
CountOfRepeats	additional.fields.key/value.string_value
EndpointDeviceName	principal.asset.hostname
GlobalProtectClientVersion	additional.fields.key/value.string_value
EndpointOSType	additional.fields.key/value.string_value
EndpointSN	principal.asset.hardware.serial_number
EventIDValue	additional.fields.key/value.string_value
Gateway	target.resource.name
GatewayPriority	additional.fields.key/value.string_value
GatewaySelectionType	additional.fields.key/value.string_value
GlobalProtectGatewayLocation	target.location.country_or_region
HostID	principal.asset.asset_id
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LoginDuration	network.session_duration
Description	security_result.description
Portal	target.hostname
PrivateIPv4	principal.ip
PrivateIPv6	principal.ip
ProjectName	additional.fields.key/value.string_value
PublicIPv4	principal.nat_ip
PublicIPv6	principal.nat_ip
QuarantineReason	security_result.summary
SequenceNo	metadata.product_log_id
SourceRegion	principal.location.country_or_region
SourceUserName	principal.user.user_display_name
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SSLResponseTime	additional.fields.key/value.string_value
Stage	additional.fields.key/value.string_value
EventStatus	additional.fields.key/value.string_value
LogSubtype	metadata.product_event_type
TunnelType	additional.fields.key/value.string_value
VirtualSystem	intermediary.asset.attribute.labels
VirtualSystemName	intermediary.asset.attribute.labels
EndpointOSVersion	principal.platform_version
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaNetworks	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	metadata.product_event_type
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VirtualSystemID	intermediary.resource.product_object_id

SCTP

Le tableau suivant liste les champs de journal du type de journal SCTP et les champs UDM correspondants.

Log field	UDM mapping
Action	security_result.action
Application	target.application
AssocationEndReason	additional.fields.key/value.string_value
ChunksReceived	additional.fields.key/value.string_value
ChunksSent	additional.fields.key/value.string_value
ChunksTotal	additional.fields.key/value.string_value
ConfigVersion	additional.fields.key/value.string_value
ContainerID	intermediary.resource.product_object_id
ContentVersion	additional.fields.key/value.string_value
RepeatCount	additional.fields.key/value.string_value
CortexDataLakeTenantID	metadata.product_deployment_id
DestinationDeviceClass	target.asset.category
DestinationDeviceMac	target.asset.mac
DestinationDeviceModel	target.asset.hardware.model
DestinationDeviceOS	additional.fields.key/value.string_value
DestinationDeviceVendor	target.asset.hardware.manufacturer
DestinationDynamicAddressGroup	target.group.group_display_name
DestinationEDL	additional.fields.key/value.string_value
DestinationIP	target.ip
DestinationLocation	target.location.country_or_region
DestinationPort	target.port
DestinationUser	target.user.userid
DestinationUserDomain	target.administrative_domain
DestinationUserName	target.user.user_display_name
DestinationUserUUID	target.user.product_object_id
DestinationUUID	target.resource.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
DiamAppID	additional.fields.key/value.string_value
DiamAvpCode	additional.fields.key/value.string_value
DiameterCommandCode	additional.fields.key/value.string_value
DiameterRequestFlag	additional.fields.key/value.string_value
DeviceName	principal.asset.hostname
SCTPEventType	additional.fields.key/value.string_value
FromZone	additional.fields.key/value.string_value
InboundInterface	additional.fields.key/value.string_value
InboundInterfaceDetailsPort	additional.fields.key/value.string_value
InboundInterfaceDetailsSlot	additional.fields.key/value.string_value
InboundInterfaceDetailsType	additional.fields.key/value.string_value
InboundInterfaceDetailsUnit	additional.fields.key/value.string_value
CaptivePortal	additional.fields.key/value.string_value
IsClienttoServer	additional.fields.key/value.string_value
IsContainer	additional.fields.key/value.string_value
IsDecryptMirror	additional.fields.key/value.string_value
IsDecryptedPayloadForward	additional.fields.key/value.string_value
IsDecryptedLog	additional.fields.key/value.string_value
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsIPV6	additional.fields.key/value.string_value
IsInspectionBeforeSession	additional.fields.key/value.string_value
IsMptcpOn	additional.fields.key/value.string_value
NAT	additional.fields.key/value.string_value
IsNonStandardDestinationPort	additional.fields.key/value.string_value
IsPacketCapture	additional.fields.key/value.string_value
IsPhishing	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
IsProxy	additional.fields.key/value.string_value
IsReconExcluded	additional.fields.key/value.string_value
IsServertoClient	additional.fields.key/value.string_value
IsSourceXForwarded	additional.fields.key/value.string_value
IsSystemReturn	additional.fields.key/value.string_value
IsTransaction	additional.fields.key/value.string_value
IsTunnelInspected	additional.fields.key/value.string_value
IsURLFiltering	additional.fields.key/value.string_value
IsWildfire	additional.fields.key/value.string_value
LogAction	additional.fields.key/value.string_value
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
DeviceName	intermediary.hostname
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
MapAppCode	additional.fields.key/value.string_value
NATDestination	target.nat_ip
NATDestinationPort	target.nat_port
NATSource	principal.nat_ip
NATSourcePort	principal.nat_port
OutboundInterface	additional.fields.key/value.string_value
OutboundInterfaceDetailsPort	additional.fields.key/value.string_value
OutboundInterfaceDetailsSlot	additional.fields.key/value.string_value
OutboundInterfaceDetailsType	additional.fields.key/value.string_value
OutboundInterfaceDetailsUnit	additional.fields.key/value.string_value
PacketsReceived	network.received_packets
PacketsSent	network.sent_packets
PacketsTotal	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PayloadProtocolID	additional.fields.key/value.string_value
PlatformType	additional.fields.key/value.string_value
ContainerName	target.resource.name
ContainerNameSpace	target.resource.attribute.labels
Protocol	network.ip_protocol
Rule	security_result.rule_name
RuleUUID	security_result.rule_id
SccpCallingGt	additional.fields.key/value.string_value
SccpCallingSSN	additional.fields.key/value.string_value
SctpCauseCode	additional.fields.key/value.string_value
SctpChunkType	additional.fields.key/value.string_value
SctpFilter	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
SessionOwnerMidx	additional.fields.key/value.string_value
SessionEndReason	security_result.summary
SessionID	network.session_id
SessionTracker	additional.fields.key/value.string_value
Severity	security_result.severity
SourceDeviceClass	additional.fields.key/value.string_value
SourceDeviceMac	principal.asset.mac
SourceDeviceModel	principal.asset.hardware.model
SourceDeviceOS	additional.fields.key/value.string_value
SourceDeviceVendor	principal.asset.hardware.manufacturer
SourceDynamicAddressGroup	principal.group.group_display_name
SourceEDL	additional.fields.key/value.string_value
SourceIP	principal.ip
SourceLocation	principal.location.country_or_region
SourcePort	principal.port
SourceUser	principal.user.userid
SourceUserDomain	principal.administrative_domain
SourceUserName	principal.user.user_display_name
SourceUserUUID	principal.user.product_object_id
SourceUUID	principal.resource.product_object_id
Subtype	metadata.product_event_type
TimeGenerated	metadata.event_timestamp
TimeGeneratedHighResolution	additional.fields.key/value.string_value
ToZone	additional.fields.key/value.string_value
Tunnel	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details
VerificationTag1	additional.fields.key/value.string_value
VerificationTag2	additional.fields.key/value.string_value
VirtualLocation	intermediary.asset.attribute.labels
VirtualSystemID	intermediary.resource.product_object_id
VirtualSystemName	intermediary.asset.attribute.labels

Audit

Le tableau suivant liste les champs de journal du type "Journal d'audit" et les champs UDM correspondants.

Log field	UDM mapping
EventCategory	network.http.method
EventDescription	metadata.description
EventDestinationURL	target.url
EventDestinationUserUserID	target.user.userid
DestinationVendor	additional.fields.key/value.string_value
EventDetails	additional.fields.key/value.string_value
EventID	metadata.product_log_id
EventName	additional.fields.key/value.string_value
EventResult	security_result.summary
EventSourceUserUserID	principal.user.userid
EventTime	metadata.event_timestamp
LogSource	target.resource.attribute.labels
LogSourceGroupID	target.resource.attribute.labels
DeviceSN	target.asset.hardware.serial_number
DeviceName	target.hostname
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
PlatformType	additional.fields.key/value.string_value
Subtype	metadata.product_event_type
TSGID	additional.fields.key/value.string_value
Vendor	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details

Configuration

Le tableau suivant liste les champs de journal du type de journal "Config" et les champs UDM correspondants.

Log field	UDM mapping
AdminUsername	principal.user.userid
AdminUserDomain	principal.administrative_domain
AdminUserName	principal.user.user_display_name
AdminUserUUID	principal.user.product_object_id
Client	additional.fields.key/value.string_value
ConfigVersion	additional.fields.key/value.string_value
TenantID	metadata.product_deployment_id
DeviceGroup	target.group.product_object_id
DGHierarchyLevel1	additional.fields.key/value.string_value
DGHierarchyLevel2	additional.fields.key/value.string_value
DGHierarchyLevel3	additional.fields.key/value.string_value
DGHierarchyLevel4	additional.fields.key/value.string_value
IPaddress	principal.ip/hostname
EventDescription	metadata.description
EventDetails	additional.fields.key/value.string_value
EventName	additional.fields.key/value.string_value
EventPath	target.resource.name
EventResult	security_result.summary
EventTime	metadata.event_timestamp
IsDuplicateLog	additional.fields.key/value.string_value
LogExported	additional.fields.key/value.string_value
LogForwarded	additional.fields.key/value.string_value
IsPrismaNetwork	additional.fields.key/value.string_value
IsPrismaUsers	additional.fields.key/value.string_value
LogCategory	security_result.category_details
LogSource	target.resource.attribute.labels
LogSourceGroupID	target.resource.attribute.labels
LogSourceID	target.resource.attribute.labels
LogSourceName	target.resource.attribute.labels
LogSourceTimeZoneOffset	additional.fields.key/value.string_value
LogTime	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
SequenceNo	metadata.product_log_id
Severity	security_result.severity
Subtype	metadata.product_event_type
Template	target.resource.attribute.labels
TimeGeneratedHighResolution	additional.fields.key/value.string_value
VendorName	additional.fields.key/value.string_value
VendorSeverity	security_result.severity_details
VirtualLocation	target.asset.attribute.labels
VirtualSystemID	target.resource.product_object_id
VirtualSystemName	target.asset.attribute.labels

DNS

Le tableau suivant liste les champs de journal du type de journal DNS et les champs UDM correspondants.

Log field	UDM mapping
Action	security_result.action
CortexDataLakeTenantID	metadata.product_deployment_id
DNSResolverIP	target.ip
DNSResponse	network.dns.answers.data
DNSResponseCode	additional.fields.key/value.string_value
DestinationUser	target.user.userid
ToZone	additional.fields.key/value.string_value
FQDN	network.dns.questions.name
FromZone	additional.fields.key/value.string_value
ThreatID	security_result.threat_id
LogSource	intermediary.resource.attribute.labels
LogSourceGroupID	intermediary.resource.attribute.labels
DeviceSN	intermediary.asset.hardware.serial_number
TimeReceived	metadata.collected_timestamp
LogType	additional.fields.key/value.string_value
PanoramaSN	observer.asset.hardware.serial_number
PlatformType	additional.fields.key/value.string_value
DNSSecurityVersion	additional.fields.key/value.string_value
RecordType	network.dns.questions.type
SourceAddress	principal.ip
SourceUser	principal.user.userid
Subtype	metadata.product_event_type
ThreatName	security_result.threat_name
TimeGenerated	metadata.event_timestamp
SessionDuration	network.session_duration
VendorName	additional.fields.key/value.string_value
DNSCategory	security_result.category_details

Référence de mappage des champs : types de journaux vers types d'événements UDM

Le tableau suivant liste les types de journaux de pare-feu Palo Alto Networks Strata Logging Service et les types d'événements UDM correspondants.

Type de journal	Type d'événement UDM
Trafic	NETWORK_CONNECTION
Menace	NETWORK_CONNECTION
Filtrage des URL	NETWORK_CONNECTION
Tunnel	NETWORK_CONNECTION
Système	Si la valeur du sous-type est "dhcp", NETWORK_DHCP est défini. Si la valeur du sous-type est "auth", USER_LOGIN est défini. Si la valeur de la description est "connecté", USER_LOGIN est défini. Si la valeur de la description est "logged out", USER_LOGOUT est défini. Pour les autres valeurs du sous-type, GENERIC_EVENT est défini.
Correspondance HIP	NETWORK_CONNECTION
Balise IP	GENERIC_EVENT
User-ID	USER_LOGIN/USER_LOGOUT/USER_UNCATEGORIZED Si la valeur du sous-type est "login", USER_LOGIN est défini. Si la valeur du sous-type est "logout", USER_LOGOUT est défini. Si le sous-type ne contient aucune valeur, USER_UNCATEGORIZED est défini.
Déchiffrement	NETWORK_CONNECTION
Authentification	STATUS_UNCATEGORIZED
Globalprotect	USER_LOGIN/USER_LOGOUT/USER_RESOURCE_ACCESS Si la valeur du champ "Stage log" est "login", USER_LOGIN est défini. Si la valeur du champ "Stage log" est "logout", USER_LOGOUT est défini. Si le champ de journal "Étape" comporte une autre valeur, USER_RESOURCE_ACCESS est défini.
SCTP	NETWORK_CONNECTION
Audit	GENERIC_EVENT
Configuration	SETTING_MODIFICATION/SETTING_CREATION/SETTING_DELETION/SETTING_UNCATEGORIZED/GENERIC_EVENT Si la valeur du champ de journal EventName est "add" ou "clone", SETTING_CREATION est défini. Si la valeur du champ de journal EventName est "delete", SETTING_DELETION est défini. Si la valeur du champ de journal EventName est "edit", "move", "rename", "set" ou "commit", SETTING_MODIFICATION est défini. Si le champ de journal EventName comporte une autre valeur, SETTING_UNCATEGORIZED est défini. Si les champs principaux ne sont pas présents, GENERIC_EVENT est défini.
DNS	NETWORK_DNS

Étapes suivantes

• Ingestion de données dans Google SecOps

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.