Palo Alto Prisma Cloud 알림 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 파서는 Palo Alto Prisma Cloud에서 JSON 형식으로 알림 로그를 추출하여 UDM으로 변환합니다. 파서는 데이터 정규화, 유형 변환, 조건부 로직을 실행하여 적절한 UDM 필드를 채웁니다. 또한 로그 데이터 내의 중첩된 JSON 구조와 배열을 처리하여 관련 정보를 추출합니다. 이 문서의 정보는 PAN_PRISMA_CA 수집 라벨이 있는 파서에 적용됩니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Palo Alto Prisma Cloud에 대한 액세스 권한
피드 설정
피드를 구성하려면 다음 단계를 따르세요.
- SIEM 설정 > 피드로 이동합니다.
- 새 피드 추가를 클릭합니다.
- 다음 페이지에서 단일 피드 구성을 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다(예: PAN Prisma Cloud 알림).
- 소스 유형으로 Webhook을 선택합니다.
- 로그 유형으로 Palo Alto Prisma Cloud 알림 페이로드를 선택합니다.
- 다음을 클릭합니다.
- 선택사항: 다음 입력 파라미터의 값을 지정합니다.
- 분할 구분 기호: 로그 줄을 구분하는 데 사용되는 구분 기호입니다(예:
\n).
- 분할 구분 기호: 로그 줄을 구분하는 데 사용되는 구분 기호입니다(예:
- 다음을 클릭합니다.
- 확정 화면에서 피드 구성을 검토한 다음 제출을 클릭합니다.
- 보안 비밀 키 생성을 클릭하여 이 피드를 인증하기 위한 보안 비밀 키를 생성합니다.
- 보안 비밀 키를 복사하여 저장합니다. 이 보안 비밀 키는 다시 볼 수 없습니다. 필요한 경우 새 보안 비밀 키를 재생성할 수 있지만 이 작업으로 인해 이전 보안 비밀 키는 더 이상 사용할 수 없게 됩니다.
- 세부정보 탭의 엔드포인트 정보 필드에서 피드 엔드포인트 URL을 복사합니다. 클라이언트 애플리케이션에서 이 엔드포인트 URL을 지정해야 합니다.
- 완료를 클릭합니다.
웹훅 피드에 대한 API 키 만들기
Google Cloud 콘솔 > 사용자 인증 정보로 이동합니다.
사용자 인증 정보 만들기를 클릭한 후 API 키를 선택합니다.
Google Security Operations API에 대한 API 키 액세스를 제한합니다.
엔드포인트 URL 지정
- 클라이언트 애플리케이션에서 웹훅 피드에 제공된 HTTPS 엔드포인트 URL을 지정합니다.
다음 형식의 커스텀 헤더의 일부로 API 키와 보안 비밀 키를 지정하여 인증을 사용 설정합니다.
X-goog-api-key = API_KEY X-Webhook-Access-Key = SECRET권장사항: URL에 지정하는 대신 API 키를 헤더로 지정하세요.
웹훅 클라이언트가 커스텀 헤더를 지원하지 않는 경우 쿼리 매개변수를 다음 형식으로 사용하여 API 키와 보안 비밀 키를 지정할 수 있습니다.
ENDPOINT_URL?key=API_KEY&secret=SECRET다음을 바꿉니다.
ENDPOINT_URL: 피드 엔드포인트 URL입니다.API_KEY: Google Security Operations에 인증하기 위한 API 키입니다.SECRET: 피드를 인증하기 위해 생성한 보안 비밀 키입니다.
Google SecOps에 Palo Alto Prisma Cloud 웹훅 구성
- Palo Alto Prisma Cloud에 로그인합니다.
- 설정 > 통합 및 알림 ((and_then)) 통합을 선택합니다.
- 통합 추가를 클릭합니다.
- 웹훅을 선택합니다.
- 다음 입력 파라미터의 값을 지정합니다.
- 통합 이름: 고유하고 설명이 포함된 이름을 입력합니다 (예: Google SecOps).
- 웹훅 URL: ENDPOINT_URL을 입력합니다.
- (선택사항) 통합에 대한 설명을 제공합니다.
- 선택사항: 맞춤 페이로드를 사용 설정하고 > 다음을 클릭하여 맞춤 페이로드를 검토하거나 수정합니다.
- 다음을 클릭합니다.
- 테스트 및 통합 저장
Palo Alto Prisma Cloud 알림 구성
- Palo Alto Prisma Cloud 콘솔에서 Alerts > View Alert Rules로 이동합니다.
- 수정할 기존 알림 규칙을 선택합니다.
- 선택사항: 클라우드 인프라에 대한 새 알림 만들기
- 선택사항: Cloud Workload에 대한 새 알림 만들기
- 알림 구성으로 이동합니다.
- 웹훅을 선택합니다.
- 선택사항: 알림 규칙에 의해 트리거된 알림을 보낼 채널을 선택합니다.
- 다음을 클릭합니다.
- 저장을 클릭합니다.
UDM 매핑 테이블
다음 표에는 Palo Alto Prisma Cloud Alert 페이로드 로그 필드에서 매핑된 UDM 필드가 나와 있습니다.
| 로그 필드 | UDM 매핑 |
|---|---|
_id |
metadata.product_log_id |
account.cloudType |
principal.resource.attribute.cloud.environment |
account.id |
additional.fields |
account.name |
additional.fields |
account_id_body |
target.user.userid |
accountId |
target.resource.product_object_id |
accountIDs |
additional.fields |
accountName |
target.resource.attribute.labels |
accountOwners |
principal.user.email_addresses,principal.user.attribute.labels |
acknowledged |
security_result.detection_fields |
additionalInfo.* |
security_result.detection_fields |
aggregatedAlerts.* |
about.resource.attribute.labels,target.resource.attribute.labels |
aggregatedAlerts.accountIDs |
target.resource.attribute.labels |
aggregatedAlerts.clusters |
target.resource.attribute.labels |
aggregatedAlerts.collections |
target.resource.attribute.labels |
aggregatedAlerts.command |
about.process.command_line |
aggregatedAlerts.complianceIssues.* |
security_result.detection_fields |
aggregatedAlerts.container |
about.resource.name |
aggregatedAlerts.containerID |
about.resource.product_object_id |
aggregatedAlerts.forensics |
about.url |
aggregatedAlerts.fqdn |
about.domain.name |
aggregatedAlerts.host |
about.hostname |
aggregatedAlerts.labels.aadpodidbinding |
about.resource.attribute.labels |
aggregatedAlerts.labels.app_kubernetes.io_component |
about.resource.attribute.labels |
aggregatedAlerts.labels.app_kubernetes.io_part_of |
about.resource.attribute.labels |
aggregatedAlerts.labels.io.kubernetes.container.name |
about.resource.attribute.labels |
aggregatedAlerts.labels.io.kubernetes.pod.namespace |
about.resource.attribute.labels |
aggregatedAlerts.labels.io.kubernetes.pod.uid |
about.resource.attribute.labels |
aggregatedAlerts.labels.networking/gateway-ingress |
about.resource.attribute.labels |
aggregatedAlerts.labels.pod-template-hash |
about.resource.attribute.labels |
aggregatedAlerts.labels.product |
about.resource.attribute.labels |
aggregatedAlerts.labels.role |
about.resource.attribute.labels |
aggregatedAlerts.namespaces |
target.resource.attribute.labels |
aggregatedAlerts.region |
about.resource.attribute.cloud.availability_zone |
aggregatedAlerts.user |
about.user.userid |
aggregatedAlerts.vulnerabilities.accountIDs |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.clusters |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.collections |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.distribution |
extensions.vulns.vulnerabilities.name |
aggregatedAlerts.vulnerabilities.imageID |
extensions.vulns.vulnerabilities.about.file.sha256 |
aggregatedAlerts.vulnerabilities.imageName |
extensions.vulns.vulnerabilities.about.file.full_path |
aggregatedAlerts.vulnerabilities.namespaces |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.cve |
extensions.vulns.vulnerabilities.cve_id |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.link |
extensions.vulns.vulnerabilities.about.url |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.packages |
target.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.packageVersion |
target.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.severity |
extensions.vulns.vulnerabilities.severity,extensions.vulns.vulnerabilities.severity_details |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.sourcePackage |
target.resource.attribute.labels |
aggregatedAlerts.vulnerabilities.newVulnerabilities.vulnerabilities.status |
extensions.vulns.vulnerabilities.description |
alarmType |
principal.asset.attribute.cloud.environment,security_result.detection_fields |
alertId |
security_result.detection_fields |
alertRemediationCli |
security_result.detection_fields |
alertRemediationCliDescription |
security_result.detection_fields |
alertRemediationImpact |
security_result.detection_fields |
alertRuleId |
security_result.rule_id |
alertRuleName |
security_result.rule_name |
alertStatus |
security_result.detection_fields |
alertTime |
security_result.first_discovered_time |
alertTs |
security_result.first_discovered_time |
App |
principal.application |
audits._id |
additional.fields |
audits.accountID |
about.resource.attribute.labels |
audits.attackTechniques |
additional.fields |
audits.attackType |
security_result.threat_name,security_result.detection_fields |
audits.cluster |
about.resource.attribute.labels |
audits.command |
about.process.command_line |
audits.container |
additional.fields |
audits.containerId |
about.resource.attribute.labels |
audits.containerName |
about.resource.attribute.labels |
audits.count |
additional.fields |
audits.effect |
security_result.action_details,security_result.detection_fields |
audits.hostname |
about.hostname |
audits.imageId |
about.resource.attribute.labels |
audits.imageName |
about.resource.attribute.labels |
audits.msg |
metadata.description,about.resource.attribute.labels |
audits.namespace |
about.namespace |
audits.os |
about.platform_version |
audits.pid |
about.process.pid |
audits.processPath |
about.process.file.full_path |
audits.profileId |
about.resource.attribute.labels |
audits.provider |
about.resource.attribute.cloud.environment |
audits.region |
about.location.country_or_region |
audits.ruleName |
security_result.rule_name,security_result.detection_fields |
audits.severity |
security_result.severity,security_result.severity_details,security_result.detection_fields |
audits.time |
about.resource.attribute.labels |
audits.type |
metadata.product_event_type,about.resource.attribute.labels |
audits.user |
about.user.userid |
body |
additional.fields |
callbackUrl |
metadata.url_back_to_product |
category |
security_result.category_details |
cluster |
principal.resource.attribute.labels |
clusters |
additional.fields |
cloudAccountGroups |
target.user.group_identifiers |
cloudAccountOwners |
target.user.email_addresses,target.user.attribute.labels |
cloudServiceName |
target.resource.attribute.labels |
cloudType |
principal.resource.attribute.cloud.environment |
collections |
additional.fields |
command |
principal.process.command_line |
complianceIssues.* |
security_result.detection_fields |
complianceIssues.category |
security_result.category_details,security_result.detection_fields |
complianceIssues.description |
security_result.description,security_result.detection_fields |
complianceIssues.id |
security_result.detection_fields |
complianceIssues.severity |
security_result.severity,security_result.severity_details,security_result.detection_fields |
complianceIssues.title |
security_result.action_details,security_result.detection_fields |
complianceIssues.type |
security_result.detection_fields |
complianceMetadata.* |
security_result.detection_fields |
container |
target.resource.name |
containerID |
principal.asset.asset_id,target.resource.product_object_id |
containerName |
principal.resource.name |
data.allocationId |
principal.resource.product_object_id |
data.attachments.* |
additional.fields |
data.createTime |
target.resource.attribute.creation_time |
data.publicIp |
principal.ip,principal.asset.ip |
data.* |
additional.fields |
deleted |
additional.fields |
description |
metadata.description |
dropped |
security_result.detection_fields |
email_add |
principal.user.email_addresses |
errorMessage |
metadata.description |
firstSeen |
principal.asset.first_seen_time |
forensics |
security_result.url_back_to_product |
fqdn |
principal.domain.name |
hasFinding |
security_result.detection_fields |
host |
principal.hostname,principal.asset.hostname |
hostname |
principal.hostname,principal.asset.hostname |
id |
metadata.product_log_id |
image |
target.process.file.full_path |
imageID |
principal.process.file.sha256,target.process.file.sha256 |
imageName |
principal.process.file.full_path |
incidentTime |
security_result.first_discovered_time |
investigateOptions.* |
security_result.detection_fields |
labels |
additional.fields |
labels.aadpodidbinding |
target.resource.attribute.labels |
labels.app |
target.application |
labels.app_kubernetes.io_component |
target.resource.attribute.labels |
labels.app_kubernetes.io_part_of |
target.resource.attribute.labels |
labels.io.kubernetes.container.name |
target.resource.attribute.labels |
labels.io.kubernetes.pod.name |
target.hostname,target.asset.hostname |
labels.io.kubernetes.pod.namespace |
target.resource.attribute.labels |
labels.io.kubernetes.pod.uid |
target.resource.attribute.labels |
labels.networking/gateway-ingress |
target.resource.attribute.labels |
labels.owner |
target.user.userid |
labels.pod-template-hash |
target.resource.attribute.labels |
labels.product |
target.resource.attribute.labels |
labels.role |
target.resource.attribute.labels |
lastModifiedBy |
principal.user.email_addresses |
lastModifiedOn |
security_result.detection_fields |
lastSeen |
principal.asset.first_discover_time |
lastUpdated |
security_result.detection_fields |
message |
security_result.description |
msg_metadata.remediable |
security_result.detection_fields |
msg_metadata.saveSearchId |
security_result.detection_fields |
name |
security_result.summary |
namespace |
principal.namespace |
namespaces |
additional.fields |
notificationRuleName |
security_result.rule_name |
policy.complianceMetadata.* |
security_result.detection_fields |
policy.description |
security_result.detection_fields |
policy.deleted |
additional.fields |
policy.hasSearchExecutionSupport |
security_result.detection_fields |
policy.id |
security_result.detection_fields |
policy.lastModifiedBy |
principal.user.email_addresses |
policy.lastModifiedOn |
security_result.detection_fields |
policy.name |
security_result.description |
policy.policyId |
security_result.detection_fields |
policy.policyType |
security_result.detection_fields |
policy.policyTs |
security_result.detection_fields |
policy.recommendation |
security_result.detection_fields |
policy.remediable |
security_result.detection_fields |
policy.severity |
security_result.severity,security_result.severity_details |
policy.systemDefault |
security_result.detection_fields |
policyDescription |
security_result.detection_fields |
policyId |
security_result.detection_fields |
policyLabels |
additional.fields |
policyName |
security_result.description |
policyRecommendation |
security_result.detection_fields |
policyType |
security_result.detection_fields |
profileID |
additional.fields |
provider |
target.resource.attribute.cloud.environment |
reason |
security_result.summary |
recommendation |
security_result.detection_fields |
remediable |
security_result.detection_fields |
region |
principal.location.country_or_region,principal.location.state,target.resource.attribute.cloud.availability_zone |
resource.account |
additional.fields |
resource.accountId |
target.resource.product_object_id,additional.fields |
resource.additionalInfo.* |
security_result.detection_fields |
resource.cloudAccountGroups |
target.user.group_identifiers |
resource.cloudAccountOwners |
target.user.email_addresses,target.user.attribute.labels |
resource.cloudServiceName |
target.resource.attribute.labels |
resource.cloudType |
principal.resource.attribute.cloud.environment,principal.resource.attribute.labels |
resource.data.* |
additional.fields |
resource.data.addonsConfig.dnsCacheConfig.enabled |
additional.fields |
resource.data.addonsConfig.gcePersistentDiskCsiDriverConfig.enabled |
additional.fields |
resource.data.addonsConfig.gcpFilestoreCsiDriverConfig.enabled |
additional.fields |
resource.data.addonsConfig.gcsFuseCsiDriverConfig.enabled |
additional.fields |
resource.data.addonsConfig.kubernetesDashboard.disabled |
additional.fields |
resource.data.addonsConfig.networkPolicyConfig.disabled |
additional.fields |
resource.data.allowed.IPProtocol |
additional.fields |
resource.data.allowed.ports |
additional.fields |
resource.data.arn |
principal.resource.attribute.labels |
resource.data.attributes.access_logs.s3.enabled |
additional.fields |
resource.data.attributes.deletion_protection.enabled |
additional.fields |
resource.data.attributes.dns_record.client_routing_policy |
additional.fields |
resource.data.attributes.load_balancing.cross_zone.enabled |
additional.fields |
resource.data.attributes.secondary_ips.auto_assigned.per_subnet |
additional.fields |
resource.data.attributes.zonal_shift.config.enabled |
additional.fields |
resource.data.authenticatorGroupsConfig.enabled |
target.group.attribute.labels |
resource.data.authenticatorGroupsConfig.securityGroup |
target.group.email_addresses |
resource.data.authorizationRules.* |
additional.fields |
resource.data.authorizationRules.properties.rights |
additional.fields |
resource.data.autoscaling.autoscalingProfile |
additional.fields |
resource.data.availabilityZones.* |
additional.fields |
resource.data.blockDeviceMappings.deviceName |
additional.fields |
resource.data.blockDeviceMappings.ebs.* |
additional.fields |
resource.data.capacityReservationSpecification.capacityReservationPreference |
additional.fields |
resource.data.Command.* |
additional.fields |
resource.data.Command.ScriptLocation |
target.process.file.full_path |
resource.data.conditions.* |
additional.fields |
resource.data.controlPlaneEndpointsConfig.dnsEndpointConfig.* |
additional.fields |
resource.data.controlPlaneEndpointsConfig.ipEndpointsConfig.* |
additional.fields |
resource.data.controlPlaneEndpointsConfig.ipEndpointsConfig.authorizedNetworksConfig.privateEndpointEnforcementEnabled |
additional.fields |
resource.data.controlPlaneEndpointsConfig.ipEndpointsConfig.privateEndpoint |
target.ip,target.asset.ip |
resource.data.controlPlaneEndpointsConfig.ipEndpointsConfig.publicEndpoint |
target.ip,target.asset.ip |
resource.data.cpuOptions.coreCount |
additional.fields |
resource.data.cpuOptions.threadsPerCore |
additional.fields |
resource.data.createDate |
principal.resource.attribute.labels |
resource.data.createdDate |
principal.resource.attribute.labels |
resource.data.createdTime |
target.resource.attribute.creation_time |
resource.data.CreatedOn |
target.resource.attribute.creation_time |
resource.data.createTime |
target.resource.attribute.creation_time |
resource.data.creationTimestamp |
principal.resource.attribute.labels |
resource.data.databaseEncryption.* |
additional.fields |
resource.data.DefaultArguments.* |
additional.fields |
resource.data.defaultMaxPodsConstraint.maxPodsPerNode |
additional.fields |
resource.data.deleteRetentionPolicy.blob.* |
additional.fields |
resource.data.description |
principal.resource.attribute.labels |
resource.data.diagnosticSettings.* |
additional.fields |
resource.data.diagnosticSettings.properties.* |
additional.fields |
resource.data.diagnosticSettings.properties.logs.* |
additional.fields |
resource.data.diagnosticSettings.properties.metrics.* |
additional.fields |
resource.data.direction |
principal.resource.attribute.labels,network.direction |
resource.data.disks.* |
additional.fields |
resource.data.displayName |
target.user.user_display_name |
resource.data.document.Statement.* |
additional.fields |
resource.data.document.Statement.Action.* |
additional.fields |
resource.data.document.Statement.Resource.* |
additional.fields |
resource.data.document.Version |
additional.fields |
resource.data.enclaveOptions.enabled |
additional.fields |
resource.data.encryptionStatuses.* |
additional.fields |
resource.data.endpoint |
target.ip,target.asset.ip |
resource.data.enterpriseConfig.clusterTier |
additional.fields |
resource.data.entities.policyRoles.* |
additional.fields |
resource.data.ExecutionProperty.MaxConcurrentRuns |
additional.fields |
resource.data.hibernationOptions.configured |
additional.fields |
resource.data.id |
principal.resource.attribute.labels |
resource.data.identity.type |
additional.fields |
resource.data.instanceGroupUrls |
additional.fields |
resource.data.ipAllocationPolicy.* |
target.resource.attribute.labels |
resource.data.ipAllocationPolicy.networkTierConfig.networkTier |
target.resource.attribute.labels |
resource.data.kind |
principal.resource.attribute.labels |
resource.data.lastAccessedDate |
principal.resource.attribute.labels |
resource.data.lastChangedDate |
principal.resource.attribute.labels |
resource.data.listeners.* |
additional.fields |
resource.data.listeners.rules.* |
additional.fields |
resource.data.listeners.rules.actions.* |
additional.fields |
resource.data.listeners.rules.actions.forwardConfig.targetGroups.* |
additional.fields |
resource.data.loadBalancerName |
target.resource.name |
resource.data.location |
principal.resource.attribute.labels |
resource.data.locations |
additional.fields |
resource.data.logConfig.enable |
additional.fields |
resource.data.loggingConfig.componentConfig.enableComponents |
additional.fields |
resource.data.loggingProperties.blob.* |
additional.fields |
resource.data.loggingProperties.queue.* |
additional.fields |
resource.data.loggingProperties.table.* |
additional.fields |
resource.data.mail |
target.user.email_addresses |
resource.data.maintenancePolicy.resourceVersion |
additional.fields |
resource.data.maintenancePolicy.window.recurringWindow.recurrence |
additional.fields |
resource.data.maintenancePolicy.window.recurringWindow.window.endTime |
additional.fields |
resource.data.maintenancePolicy.window.recurringWindow.window.startTime |
additional.fields |
resource.data.masterAuth.clusterCaCertificate |
additional.fields |
resource.data.masterAuthorizedNetworksConfig.privateEndpointEnforcementEnabled |
additional.fields |
resource.data.metadata.items |
additional.fields |
resource.data.metadataOptions.* |
additional.fields |
resource.data.monitoring.state |
additional.fields |
resource.data.monitoringConfig.componentConfig.enableComponents |
additional.fields |
resource.data.monitoringConfig.managedPrometheusConfig.enabled |
additional.fields |
resource.data.msg_metadata.fingerprint |
additional.fields |
resource.data.msg_metadata.kind |
additional.fields |
resource.data.Name |
target.resource.name |
resource.data.name |
principal.resource.attribute.labels |
resource.data.network |
principal.resource.attribute.labels |
resource.data.networkConfig.* |
additional.fields |
resource.data.networkConfig.dnsConfig.clusterDns |
additional.fields |
resource.data.networkConfig.dnsConfig.clusterDnsScope |
additional.fields |
resource.data.networkConfig.gatewayApiConfig.channel |
additional.fields |
resource.data.networkInterfaces.* |
additional.fields |
resource.data.networkInterfaces.aliasIpRanges.* |
additional.fields |
resource.data.networkInterfaces.attachment.* |
additional.fields |
resource.data.networkInterfaces.groups.* |
additional.fields |
resource.data.networkInterfaces.macAddress |
target.mac,target.asset.mac |
resource.data.networkInterfaces.networkIP |
target.ip,target.asset.ip |
resource.data.networkInterfaces.operator.managed |
additional.fields |
resource.data.networkInterfaces.privateIpAddress |
target.ip,target.asset.ip |
resource.data.networkPerformanceOptions.bandwidthWeighting |
additional.fields |
resource.data.networkRuleSet.* |
additional.fields |
resource.data.networkRuleSet.properties.* |
additional.fields |
resource.data.nodeConfig.* |
target.resource.attribute.labels |
resource.data.nodeConfig.bootDisk.diskType |
target.resource.attribute.labels |
resource.data.nodeConfig.bootDisk.sizeGb |
target.resource.attribute.labels |
resource.data.nodeConfig.kubeletConfig.insecureKubeletReadonlyPortEnabled |
target.resource.attribute.labels |
resource.data.nodeConfig.kubeletConfig.maxParallelImagePulls |
target.resource.attribute.labels |
resource.data.nodeConfig.msg_metadata.disable-legacy-endpoints |
target.resource.attribute.labels |
resource.data.nodeConfig.nodeImageConfig.image |
target.resource.attribute.labels |
resource.data.nodeConfig.nodeImageConfig.imageProject |
target.resource.attribute.labels |
resource.data.nodeConfig.oauthScopes |
target.resource.attribute.labels |
resource.data.nodeConfig.resourceLabels.goog-gke-node-pool-provisioning-model |
target.resource.attribute.labels |
resource.data.nodeConfig.serviceAccount |
target.user.email_addresses,target.user.userid |
resource.data.nodeConfig.shieldedInstanceConfig.enableIntegrityMonitoring |
target.resource.attribute.labels |
resource.data.nodeConfig.tags |
target.resource.attribute.labels |
resource.data.nodeConfig.workloadMetadataConfig.mode |
target.resource.attribute.labels |
resource.data.nodePoolAutoConfig.networkTags.tags |
additional.fields |
resource.data.nodePoolAutoConfig.nodeKubeletConfig.insecureKubeletReadonlyPortEnabled |
additional.fields |
resource.data.nodePoolDefaults.nodeConfigDefaults.loggingConfig.variantConfig.variant |
additional.fields |
resource.data.nodePoolDefaults.nodeConfigDefaults.nodeKubeletConfig.insecureKubeletReadonlyPortEnabled |
additional.fields |
resource.data.nodePools.* |
additional.fields |
resource.data.nodePools.autoscaling.* |
additional.fields |
resource.data.nodePools.config.* |
additional.fields |
resource.data.nodePools.instanceGroupUrls |
additional.fields |
resource.data.nodePools.locations |
additional.fields |
resource.data.nodePools.management.* |
additional.fields |
resource.data.nodePools.maxPodsConstraint.* |
additional.fields |
resource.data.nodePools.networkConfig.* |
additional.fields |
resource.data.nodePools.upgradeSettings.* |
additional.fields |
resource.data.operator.hiddenByDefault |
additional.fields |
resource.data.operator.managed |
additional.fields |
resource.data.placement.* |
additional.fields |
resource.data.podAutoscaling.hpaProfile |
additional.fields |
resource.data.policyArn |
principal.resource.attribute.labels |
resource.data.policyName |
principal.resource.attribute.labels |
resource.data.privateClusterConfig.* |
additional.fields |
resource.data.privateDnsName |
target.hostname,target.asset.hostname |
resource.data.privateIpAddress |
target.ip,target.asset.ip |
resource.data.properties.* |
additional.fields |
resource.data.properties.aadProfile.enableAzureRBAC |
additional.fields |
resource.data.properties.aadProfile.managed |
additional.fields |
resource.data.properties.aadProfile.tenantID |
additional.fields |
resource.data.properties.addonProfiles.azureKeyvaultSecretsProvider.config.enableSecretRotation |
additional.fields |
resource.data.properties.addonProfiles.azureKeyvaultSecretsProvider.config.rotationPollInterval |
additional.fields |
resource.data.properties.addonProfiles.azureKeyvaultSecretsProvider.enabled |
additional.fields |
resource.data.properties.addonProfiles.azureKeyvaultSecretsProvider.identity.clientId |
additional.fields |
resource.data.properties.addonProfiles.azureKeyvaultSecretsProvider.identity.objectId |
additional.fields |
resource.data.properties.addonProfiles.azureKeyvaultSecretsProvider.identity.resourceId |
additional.fields |
resource.data.properties.addonProfiles.azurepolicy.config.version |
additional.fields |
resource.data.properties.addonProfiles.azurepolicy.enabled |
additional.fields |
resource.data.properties.addonProfiles.azurepolicy.identity.clientId |
additional.fields |
resource.data.properties.addonProfiles.azurepolicy.identity.objectId |
additional.fields |
resource.data.properties.addonProfiles.azurepolicy.identity.resourceId |
additional.fields |
resource.data.properties.addonProfiles.omsagent.config.logAnalyticsWorkspaceResourceID |
additional.fields |
resource.data.properties.addonProfiles.omsagent.config.useAADAuth |
additional.fields |
resource.data.properties.addonProfiles.omsagent.enabled |
additional.fields |
resource.data.properties.addonProfiles.omsagent.identity.clientId |
additional.fields |
resource.data.properties.addonProfiles.omsagent.identity.objectId |
additional.fields |
resource.data.properties.addonProfiles.omsagent.identity.resourceId |
additional.fields |
resource.data.properties.agentPoolProfiles.* |
additional.fields |
resource.data.properties.agentPoolProfiles.availabilityZones |
additional.fields |
resource.data.properties.agentPoolProfiles.nodeLabels.nodepool |
additional.fields |
resource.data.properties.agentPoolProfiles.powerState.code |
additional.fields |
resource.data.properties.agentPoolProfiles.tags.* |
additional.fields |
resource.data.properties.apiServerAccessProfile.disableRunCommand |
additional.fields |
resource.data.properties.apiServerAccessProfile.enablePrivateCluster |
additional.fields |
resource.data.properties.apiServerAccessProfile.enablePrivateClusterPublicFQDN |
additional.fields |
resource.data.properties.apiServerAccessProfile.privateDNSZone |
additional.fields |
resource.data.properties.autoScalerProfile.* |
additional.fields |
resource.data.properties.autoUpgradeProfile.upgradeChannel |
additional.fields |
resource.data.properties.httpProxyConfig.effectiveNoProxy |
additional.fields |
resource.data.properties.httpProxyConfig.httpProxy |
additional.fields |
resource.data.properties.httpProxyConfig.httpsProxy |
additional.fields |
resource.data.properties.httpProxyConfig.noProxy |
additional.fields |
resource.data.properties.httpProxyConfig.trustedCa |
additional.fields |
resource.data.properties.identityProfile.kubeletidentity.* |
additional.fields |
resource.data.properties.linuxProfile.adminUsername |
additional.fields |
resource.data.properties.linuxProfile.ssh.publicKeys.* |
additional.fields |
resource.data.properties.networkProfile.* |
target.resource.attribute.labels |
resource.data.properties.networkProfile.dnsServiceIP |
target.ip,target.asset.ip |
resource.data.properties.networkProfile.ipFamilies |
target.resource.attribute.labels |
resource.data.properties.networkProfile.serviceCidrs |
target.resource.attribute.labels |
resource.data.properties.powerState.code |
additional.fields |
resource.data.properties.principalId |
target.user.product_object_id |
resource.data.properties.privateFQDN |
target.hostname,target.asset.hostname |
resource.data.properties.privateLinkResources.* |
additional.fields |
resource.data.properties.privateLinkResources.requiredMembers |
additional.fields |
resource.data.properties.roleDefinition.* |
additional.fields |
resource.data.properties.roleDefinition.properties.* |
additional.fields |
resource.data.properties.roleDefinition.properties.assignableScopes |
additional.fields |
resource.data.properties.roleDefinition.properties.permissions.actions |
additional.fields |
resource.data.properties.roleDefinition.properties.permissions.notActions |
additional.fields |
resource.data.properties.servicePrincipalProfile.clientId |
additional.fields |
resource.data.properties.storageProfile.diskCSIDriver.enabled |
additional.fields |
resource.data.properties.storageProfile.fileCSIDriver.enabled |
additional.fields |
resource.data.properties.storageProfile.snapshotController.enabled |
additional.fields |
resource.data.properties.windowsProfile.adminUsername |
additional.fields |
resource.data.properties.windowsProfile.enableCSIProxy |
additional.fields |
resource.data.rbacBindingConfig.enableInsecureBindingSystemAuthenticated |
additional.fields |
resource.data.rbacBindingConfig.enableInsecureBindingSystemUnauthenticated |
additional.fields |
resource.data.releaseChannel.channel |
additional.fields |
resource.data.resourceGroup |
principal.resource.attribute.labels |
resource.data.resourceLabels.gke-cluster |
additional.fields |
resource.data.resourceLabels.goog-terraform-provisioned |
additional.fields |
resource.data.roles |
target.user.attribute.roles.name |
resource.data.scheduling.automaticRestart |
additional.fields |
resource.data.scheduling.onHostMaintenance |
additional.fields |
resource.data.scheduling.preemptible |
additional.fields |
resource.data.secretVersionsToStages.terraform-20260122172341570100000002 |
principal.resource.attribute.labels |
resource.data.securityPostureConfig.mode |
security_result.detection_fields |
resource.data.securityPostureConfig.vulnerabilityMode |
security_result.detection_fields |
resource.data.selfLink |
principal.resource.attribute.labels |
resource.data.shareDeleteRetentionPolicy.file.* |
additional.fields |
resource.data.shieldedInstanceConfig.enableIntegrityMonitoring |
additional.fields |
resource.data.shieldedInstanceConfig.enableSecureBoot |
additional.fields |
resource.data.shieldedInstanceConfig.enableVtpm |
additional.fields |
resource.data.shieldedInstanceIntegrityPolicy.updateAutoLearnPolicy |
additional.fields |
resource.data.sku.* |
additional.fields |
resource.data.sourceRanges |
security_result.about.ip |
resource.data.state.code |
additional.fields |
resource.data.state.name |
additional.fields |
resource.data.tags |
additional.fields |
resource.data.tags.* |
additional.fields |
resource.data.tags.Creator |
target.user.email_addresses,target.user.userid |
resource.data.tags.Email |
target.user.email_addresses,target.user.userid |
resource.data.tags.items |
additional.fields |
resource.data.targetGroups.* |
target.resource.attribute.labels |
resource.data.targetGroups.loadBalancerArns |
target.resource.attribute.labels |
resource.data.targetTags |
additional.fields |
resource.data.type |
principal.resource.attribute.labels |
resource.data.user |
target.user.email_addresses,target.user.userid |
resource.data.userPrincipalName |
target.user.userid |
resource.data.versionId |
principal.resource.attribute.labels |
resource.data.workloadIdentityConfig.workloadPool |
additional.fields |
resource.data.dnsname |
target.hostname,target.asset.hostname |
resource.id |
principal.resource.product_object_id,additional.fields |
resource.name |
principal.resource.name,additional.fields |
resource.region |
principal.location.country_or_region,principal.location.state,additional.fields |
resource.regionId |
principal.resource.attribute.cloud.availability_zone,principal.location.country_or_region,additional.fields |
resource.resourceApiName |
target.resource.attribute.labels |
resource.resourceConfigJsonAvailable |
additional.fields |
resource.resourceDetailsAvailable |
additional.fields |
resource.resourceId |
principal.resource.product_object_id |
resource.resourceName |
principal.resource.name |
resource.resourceTags.* |
principal.resource.attribute.labels |
resource.resourceTs |
metadata.event_timestamp |
resource.resourceType |
target.resource.resource_subtype,additional.fields |
resource.rrn |
target.resource.attribute.labels |
resource.unifiedAssetId |
principal.asset.asset_id |
resource.url |
principal.url |
resourceCloudService |
principal.resource.attribute.labels |
resourceConfigJsonAvailable |
additional.fields |
resourceDetailsAvailable |
additional.fields |
resourceId |
principal.resource.product_object_id |
resourceName |
principal.resource.name |
resourceRegion |
principal.location.country_or_region |
resourceRegionId |
principal.resource.attribute.cloud.availability_zone |
resourceType |
target.resource.resource_subtype |
rrn |
target.resource.name |
saveSearchId |
security_result.detection_fields |
sender |
metadata.description |
sentTs |
metadata.event_timestamp |
serialNum |
additional.fields |
service |
observer.application |
severity |
security_result.severity,security_result.severity_details |
shouldCollect |
additional.fields |
source |
principal.application |
source_type |
metadata.product_event_type |
startupProcess |
principal.process.parent_process.command_line |
status |
security_result.detection_fields |
systemDefault |
additional.fields |
tags |
principal.resource.attribute.labels |
time |
metadata.event_timestamp |
title |
additional.fields |
type |
principal.resource.resource_subtype,security_result.category_details |
unifiedAssetId |
principal.asset.asset_id |
url |
security_result.url_back_to_product |
user |
principal.user.userid |
vulnerabilities.accountIDs |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
vulnerabilities.clusters |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
vulnerabilities.collections |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
vulnerabilities.distribution |
extensions.vulns.vulnerabilities.name |
vulnerabilities.imageID |
extensions.vulns.vulnerabilities.about.file.sha256 |
vulnerabilities.imageName |
extensions.vulns.vulnerabilities.about.file.full_path |
vulnerabilities.namespaces |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
vulnerabilities.newVulnerabilities.vulnerabilities.cve |
extensions.vulns.vulnerabilities.cve_id |
vulnerabilities.newVulnerabilities.vulnerabilities.link |
extensions.vulns.vulnerabilities.about.url |
vulnerabilities.newVulnerabilities.vulnerabilities.packages |
target.resource.attribute.labels |
vulnerabilities.newVulnerabilities.vulnerabilities.packageVersion |
target.resource.attribute.labels |
vulnerabilities.newVulnerabilities.vulnerabilities.severity |
extensions.vulns.vulnerabilities.severity,extensions.vulns.vulnerabilities.severity_details |
vulnerabilities.newVulnerabilities.vulnerabilities.sourcePackage |
target.resource.attribute.labels |
vulnerabilities.newVulnerabilities.vulnerabilities.status |
extensions.vulns.vulnerabilities.description |
UDM 매핑 델타 참조
2026년 9월 15일, Google SecOps에서 Palo Alto Prisma Cloud Alert 페이로드 로그 필드를 UDM 필드에 매핑하는 데 중요한 변경사항이 포함된 Palo Alto Prisma Cloud Alert 페이로드 파서의 새 버전을 출시했습니다.
로그 필드 매핑 델타
다음 표에는 2026년 9월 15일 이전에 노출된 Palo Alto Prisma Cloud Alert 페이로드 로그-UDM 필드와 그 이후의 매핑 델타가 나와 있습니다 (각각 이전 매핑 및 현재 매핑 열에 나열됨).
| 로그 필드 | 이전 매핑 | 현재 매핑 | 변경 사유 |
|---|---|---|---|
_id |
additional.fields |
metadata.product_log_id |
명확한 이벤트 식별을 위해 제품 로그 ID에 매핑됩니다. |
account.cloudType |
principal.cloud.environment |
principal.resource.attribute.cloud.environment |
클라우드 환경 컨텍스트를 리소스 속성에 재정렬했습니다. |
accountId |
target.resource.id,target.resource.product_object_id |
target.resource.product_object_id |
표준화된 클라우드 계정 식별자 타겟입니다. |
accountId |
target1.cloud.project.id |
target.resource.product_object_id |
지원 중단된 target1 항목 매핑이 삭제되었습니다. |
aggregatedAlerts.category |
security_result.category_details |
about.resource.attribute.labels |
일반 카테고리 속성을 about 리소스 라벨로 이동했습니다. |
aggregatedAlerts.command |
principal.process.command_line,security_result.detection_fields |
about.process.command_line |
about.process 아래에 통합된 프로세스 실행 세부정보 |
aggregatedAlerts.complianceIssues.category |
security_result.category_details |
security_result.detection_fields |
감지 필드에 보존된 규정 준수 메타데이터 |
aggregatedAlerts.complianceIssues.description |
security_result.description,security_result.detection_fields |
security_result.detection_fields |
중복 필드를 방지하기 위해 설명 매핑이 간소화되었습니다. |
aggregatedAlerts.complianceIssues.severity |
security_result.severity,severity_details,security_result.detection_fields |
security_result.detection_fields |
감지 필드에서 표준화된 규정 준수 심각도 추적 |
aggregatedAlerts.complianceIssues.title |
security_result.action_details,security_result.detection_fields |
security_result.detection_fields |
제목 메타데이터를 감지 필드로 통합했습니다. |
aggregatedAlerts.container |
target.resource.name |
about.resource.name |
타겟에서 about 컨텍스트로 컨테이너 세부정보를 이동했습니다. |
aggregatedAlerts.containerID |
target.resource.product_object_id |
about.resource.product_object_id |
컨테이너 ID 매핑을 about 리소스 속성에 재정렬했습니다. |
aggregatedAlerts.forensics |
principal.url |
about.url |
포렌식 링크 타겟이 about.url로 업데이트되었습니다. |
aggregatedAlerts.fqdn |
principal.domain.name |
about.domain.name |
도메인 컨텍스트 매핑이 수정되었습니다. |
aggregatedAlerts.host |
principal.hostname |
about.hostname |
호스트 엔티티 컨텍스트가 about.hostname로 이동했습니다. |
aggregatedAlerts.message |
security_result.description |
about.resource.attribute.labels |
원시 메시지 문자열을 라벨 키-값 쌍으로 이동했습니다. |
aggregatedAlerts.region |
target.cloud.availability_zone |
about.resource.attribute.cloud.availability_zone |
클라우드 리전 속성 매핑이 업데이트되었습니다. |
aggregatedAlerts.rule |
security_result.rule_name |
about.resource.attribute.labels |
집계된 규칙 참조를 리소스 라벨로 이동했습니다. |
aggregatedAlerts.startupProcess |
principal.process.parent_process.command_line |
about.resource.attribute.labels |
시작 프로세스 세부정보를 리소스 라벨로 재분류했습니다. |
aggregatedAlerts.time |
metadata.event_timestamp |
about.resource.attribute.labels |
리소스 라벨에 원시 알림 타임스탬프가 유지됩니다. |
aggregatedAlerts.type |
security_result.category_details |
about.resource.attribute.labels |
알림 유형을 리소스 라벨로 재분류했습니다. |
aggregatedAlerts.user |
principal.user.userid |
about.user.userid |
사용자 엔티티 참조를 about.user로 재정렬했습니다. |
alertTs |
security_result.detection_fields |
security_result.first_discovered_time |
수정된 감지 타임스탬프 타겟 필드 |
audits.attackType |
security_result.threat_name |
security_result.threat_name,security_result.detection_fields |
감지 필드에 보조 매핑이 추가되었습니다. |
audits.command |
principal.process.command_line |
about.process.command_line |
프로세스 명령줄 타겟을 about로 이동했습니다. |
audits.effect |
security_result.action_details |
security_result.action_details,security_result.detection_fields |
감지 필드에 보조 매핑이 추가되었습니다. |
audits.msg |
metadata.description |
metadata.description,about.resource.attribute.labels |
감사 메시지 추적을 리소스 라벨로 확장했습니다. |
audits.os |
principal.platform_version |
about.platform_version |
수정된 운영체제 플랫폼 타겟입니다. |
audits.pid |
principal.process.pid |
about.process.pid |
프로세스 ID 매핑을 about.process에 맞게 재정렬했습니다. |
audits.processPath |
principal.process.file.full_path |
about.process.file.full_path |
프로세스 실행 파일 경로를 about.process로 재정렬했습니다. |
audits.ruleName |
security_result.rule_name |
security_result.rule_name,security_result.detection_fields |
보안 결과 및 감지 필드에서 규칙 이름이 유지됩니다. |
audits.severity |
security_result.severity |
security_result.severity,security_result.detection_fields |
보안 결과 및 감지 필드에서 감사 심각도가 유지되었습니다. |
audits.type |
metadata.product_event_type |
metadata.product_event_type,about.resource.attribute.labels |
필터링 개선을 위해 리소스 라벨에 이벤트 유형이 추가되었습니다. |
audits.user |
principal.user.userid |
about.user.userid |
감사 사용자 식별자를 about.user로 재정렬했습니다. |
cloudType |
principal.cloud.environment |
principal.resource.attribute.cloud.environment |
루트 클라우드 환경 타겟이 업데이트되었습니다. |
complianceMetadata.requirementId |
security_result.rule_id |
security_result.detection_fields |
규정 준수 요구사항 ID를 감지 필드로 이동했습니다. |
complianceMetadata.requirementName |
security_result.summary |
security_result.detection_fields |
규정 준수 요구사항 이름을 감지 필드로 이동했습니다. |
complianceMetadata.standardName |
security_result.rule_name |
security_result.detection_fields |
규정 준수 표준 이름을 감지 필드로 이동했습니다. |
containerName |
principal.application,principal.resource.name |
principal.resource.name |
모호한 애플리케이션 항목 매핑이 삭제되었습니다. |
imageID |
principal.resource.attribute.labels |
principal.process.file.sha256 |
컨테이너 이미지 해시를 프로세스 SHA256에 직접 매핑했습니다. |
imageName |
principal.resource.attribute.labels |
principal.process.file.full_path |
매핑된 컨테이너 이미지 이름과 프로세스 파일 경로입니다. |
policy.complianceMetadata.requirementId |
security_result.rule_id |
security_result.detection_fields |
정책 준수 요구사항 ID를 감지 필드로 이동했습니다. |
policy.complianceMetadata.requirementName |
security_result.summary |
security_result.detection_fields |
정책 준수 요구사항 이름을 감지 필드로 이동했습니다. |
policy.complianceMetadata.standardName |
security_result.rule_name |
security_result.detection_fields |
정책 규정 준수 표준 이름을 감지 필드로 이동했습니다. |
provider |
target.resource.attribute.labels |
target.resource.attribute.cloud.environment |
표준화된 클라우드 제공업체 환경 컨텍스트입니다. |
resource.account |
target.resource.product_object_id |
additional.fields |
일반 계정 문자열을 추가 필드로 이동했습니다. |
resource.accountId |
target.resource.id,target.resource.product_object_id |
target.resource.product_object_id |
표준화된 리소스 계정 ID 매핑입니다. |
resource.accountId |
target1.cloud.project.id |
target.resource.product_object_id |
기존 target1 항목 참조가 삭제되었습니다. |
resource.cloudAccountGroups |
principal.resource.attribute.labels |
target.user.group_identifiers |
계정 그룹 매핑을 사용자 그룹 식별자로 수정했습니다. |
resource.cloudType |
principal.cloud.environment |
principal.resource.attribute.cloud.environment |
표준화된 리소스 클라우드 환경 속성입니다. |
resource.data.isAttached |
security_result.detection_fields |
additional.fields |
리소스 상태 플래그를 추가 필드로 이동했습니다. |
resource.data.isDefaultVersion |
security_result.detection_fields |
additional.fields |
버전 플래그를 추가 필드로 이동했습니다. |
resource.data.isPermissionBoundarySet |
security_result.detection_fields |
additional.fields |
권한 플래그를 추가 필드로 이동했습니다. |
resource.resourceApiName |
principal.resource.attribute.labels |
target.resource.attribute.labels |
타겟 리소스에 맞게 리소스 API 라벨을 재정렬했습니다. |
resource.resourceId |
principal.resource.attribute.labels |
principal.resource.product_object_id |
프로모션 리소스 ID에서 제품 객체 ID로 |
resource.resourceName |
principal.resource.attribute.labels |
principal.resource.name |
프로모션 리소스 이름을 네이티브 UDM 리소스 이름으로 변환합니다. |
resource.resourceTs |
principal.resource.attribute.labels |
metadata.event_timestamp |
수정된 이벤트 타임스탬프 소스 추출 필드 |
resource.rrn |
principal.resource.attribute.labels |
target.resource.attribute.labels |
리소스 RRN을 타겟 라벨에 다시 정렬했습니다. |
resourceRegionId |
principal.cloud.availability_zone |
principal.resource.attribute.cloud.availability_zone |
클라우드 리전 ID를 리소스 속성에 재정렬했습니다. |
resourceType |
principal.resource.resource_subtype |
target.resource.resource_subtype |
표준화된 대상 리소스 하위 유형입니다. |
type |
principal.resource.type |
principal.resource.resource_subtype |
매핑된 유형 문자열을 리소스 하위 유형에 매핑합니다. |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.