איסוף יומנים מ-Palo Alto Prisma Cloud

נתמך ב:

במאמר הזה מוסבר איך להגדיר פיד של Google Security Operations כדי לאסוף יומנים של Palo Alto Prisma Cloud.

מידע נוסף זמין במאמר בנושא העברת נתונים אל Google Security Operations.

תווית הטמעה מזהה את מנתח התוכן שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן (parser) עם תווית ההטמעה PAN_PRISMA_CLOUD.

הגדרת Palo Alto Prisma Cloud

  1. נכנסים ל-Palo Alto Prisma Cloud Console באמצעות חשבון אדמין.
  2. בתפריט הגדרות, לוחצים על מקשי גישה.
  3. לוחצים על הוספה ומזינים שם.

  4. לוחצים על יצירה. יופיעו הערכים של מזהה מפתח הגישה והמפתח הסודי.

  5. שומרים את הערכים של מזהה מפתח הגישה והמפתח הסודי. הערכים האלה נדרשים כשמגדירים את הפיד של Google Security Operations.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה Feed name (שם הפיד), מזינים שם לפיד, למשל Palo Alto Prisma Cloud Logs (יומני Palo Alto Prisma Cloud).
  5. בוחרים באפשרות Third party API (ממשק API של צד שלישי) בתור Source Type (סוג המקור).
  6. בוחרים באפשרות Palo Alto Prisma Cloud בתור סוג היומן.
  7. לוחצים על הבא.
  8. מגדירים את פרמטרי הקלט הבאים שהם חובה:
    • שם משתמש: מציינים את מזהה מפתח הגישה שהשגתם קודם.
    • סיסמה: מציינים את המפתח הסודי שהשגתם קודם.
    • שם המארח של ה-API: מציינים את שם המארח של ה-API.
  9. לוחצים על הבא ואז על שליחה.

הפניה למיפוי שדות

קוד המנתח הזה מחלץ שדות מיומני PAN PRISMA CLOUD בפורמט JSON, מבצע טרנספורמציות של נתונים ומיפויים כדי לבנות את הנתונים לפי סכימת ה-UDM של Chronicle. הוא מטפל במבנים שונים של הודעות ביומן, כולל אובייקטים ומערכים מוטמעים, כדי לנרמל אירועי אבטחה מגוונים ומידע הקשרי לניתוח ב-Chronicle.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
accountName read_only_udm.target.resource.attribute.cloud.project.id ממופה ישירות מהשדה accountName.
accountId read_only_udm.target.hostname ממופה ישירות מהשדה accountId.
accountId read_only_udm.target.asset.hostname ממופה ישירות מהשדה accountId.
accountId read_only_udm.principal.cloud.project.id ממופה ישירות מהשדה accountId במערך aggregatedAlerts.
פעולה read_only_udm.security_result.description ממופה ישירות מהשדה action אחרי הסרת חלק ה-JSON.
alertId read_only_udm.metadata.product_log_id ממופה ישירות מהשדה alertId.
alertRules.0.allowAutoRemediate read_only_udm.security_result.detection_fields.allowAutoRemediate_0 ממופה ישירות מהשדה alertRules.0.allowAutoRemediate.
alertRules.0.enabled read_only_udm.security_result.detection_fields.enabled_0 ממופה ישירות מהשדה alertRules.0.enabled.
alertRules.0.name read_only_udm.security_result.detection_fields.name_0 ממופה ישירות מהשדה alertRules.0.name.
alertRules.0.notifyOnDismissed read_only_udm.security_result.detection_fields.notifyOnDismissed_0 ממופה ישירות מהשדה alertRules.0.notifyOnDismissed.
alertRules.0.notifyOnOpen read_only_udm.security_result.detection_fields.notifyOnOpen_0 ממופה ישירות מהשדה alertRules.0.notifyOnOpen.
alertRules.0.notifyOnResolved read_only_udm.security_result.detection_fields.notifyOnResolved_0 ממופה ישירות מהשדה alertRules.0.notifyOnResolved.
alertRules.0.notifyOnSnoozed read_only_udm.security_result.detection_fields.notifyOnSnoozed_0 ממופה ישירות מהשדה alertRules.0.notifyOnSnoozed.
alertRules.0.policyScanConfigId read_only_udm.security_result.detection_fields.policyScanConfigId_0 ממופה ישירות מהשדה alertRules.0.policyScanConfigId.
alertRules.0.scanAll read_only_udm.security_result.detection_fields.scanAll_0 ממופה ישירות מהשדה alertRules.0.scanAll.
alertRules.1.allowAutoRemediate read_only_udm.security_result.detection_fields.allowAutoRemediate_1 ממופה ישירות מהשדה alertRules.1.allowAutoRemediate.
alertRules.1.createdBy read_only_udm.principal.user.email_addresses ממופה ישירות מהשדה alertRules.1.createdBy.
alertRules.1.enabled read_only_udm.security_result.detection_fields.enabled_1 ממופה ישירות מהשדה alertRules.1.enabled.
alertRules.1.name read_only_udm.security_result.detection_fields.name_1 ממופה ישירות מהשדה alertRules.1.name.
alertRules.1.notifyOnDismissed read_only_udm.security_result.detection_fields.notifyOnDismissed_1 ממופה ישירות מהשדה alertRules.1.notifyOnDismissed.
alertRules.1.notifyOnOpen read_only_udm.security_result.detection_fields.notifyOnOpen_1 ממופה ישירות מהשדה alertRules.1.notifyOnOpen.
alertRules.1.notifyOnResolved read_only_udm.security_result.detection_fields.notifyOnResolved_1 ממופה ישירות מהשדה alertRules.1.notifyOnResolved.
alertRules.1.notifyOnSnoozed read_only_udm.security_result.detection_fields.notifyOnSnoozed_1 ממופה ישירות מהשדה alertRules.1.notifyOnSnoozed.
alertRules.1.policyScanConfigId read_only_udm.security_result.detection_fields.policyScanConfigId_1 ממופה ישירות מהשדה alertRules.1.policyScanConfigId.
alertRules.1.scanAll read_only_udm.security_result.detection_fields.scanAll_1 ממופה ישירות מהשדה alertRules.1.scanAll.
alertRules.2.allowAutoRemediate read_only_udm.security_result.detection_fields.allowAutoRemediate_2 ממופה ישירות מהשדה alertRules.2.allowAutoRemediate.
alertRules.2.createdBy read_only_udm.principal.user.email_addresses ממופה ישירות מהשדה alertRules.2.createdBy.
alertRules.2.enabled read_only_udm.security_result.detection_fields.enabled_2 ממופה ישירות מהשדה alertRules.2.enabled.
alertRules.2.name read_only_udm.security_result.detection_fields.name_2 ממופה ישירות מהשדה alertRules.2.name.
alertRules.2.notifyOnDismissed read_only_udm.security_result.detection_fields.notifyOnDismissed_2 ממופה ישירות מהשדה alertRules.2.notifyOnDismissed.
alertRules.2.notifyOnOpen read_only_udm.security_result.detection_fields.notifyOnOpen_2 ממופה ישירות מהשדה alertRules.2.notifyOnOpen.
alertRules.2.notifyOnResolved read_only_udm.security_result.detection_fields.notifyOnResolved_2 ממופה ישירות מהשדה alertRules.2.notifyOnResolved.
alertRules.2.notifyOnSnoozed read_only_udm.security_result.detection_fields.notifyOnSnoozed_2 ממופה ישירות מהשדה alertRules.2.notifyOnSnoozed.
alertRules.2.policyScanConfigId read_only_udm.security_result.detection_fields.policyScanConfigId_2 ממופה ישירות מהשדה alertRules.2.policyScanConfigId.
alertRules.2.scanAll read_only_udm.security_result.detection_fields.scanAll_2 ממופה ישירות מהשדה alertRules.2.scanAll.
alertRuleId read_only_udm.security_result.rule_id ממופה ישירות מהשדה alertRuleId.
alertRuleName read_only_udm.security_result.rule_name ממופה ישירות מהשדה alertRuleName.
alertStatus read_only_udm.security_result.detection_fields.event message alertStatus ממופה ישירות מהשדה alertStatus באובייקט event_data.msg_data.
alertTs read_only_udm.metadata.event_timestamp.seconds ממופה ישירות מהשדה alertTs אחרי המרה לחותמת זמן של UNIX.
alertTs read_only_udm.metadata.event_timestamp.nanos ממופה ישירות מהשדה alertTs אחרי המרה לחותמת זמן של UNIX.
callbackUrl read_only_udm.metadata.url_back_to_product ממופה ישירות מהשדה callbackUrl.
cloudServiceName read_only_udm.target.resource.attribute.labels.cloudServiceName ממופה ישירות מהשדה cloudServiceName.
cloudType read_only_udm.target.resource.attribute.cloud.environment ממופה מהשדה cloudType. אם הערך של cloudType הוא gcp, הערך מוגדר כ-GOOGLE_CLOUD_PLATFORM. אם הערך של cloudType הוא aws, הערך שמוגדר הוא AMAZON_WEB_SERVICES.
complianceMetadata.0.requirementId read_only_udm.security_result.rule_id ממופה ישירות מהשדה complianceMetadata.0.requirementId.
complianceMetadata.0.requirementName read_only_udm.security_result.summary ממופה ישירות מהשדה complianceMetadata.0.requirementName.
complianceMetadata.0.standardName read_only_udm.security_result.rule_name ממופה ישירות מהשדה complianceMetadata.0.standardName.
complianceMetadata.1.requirementId read_only_udm.security_result.rule_id ממופה ישירות מהשדה complianceMetadata.1.requirementId.
complianceMetadata.1.requirementName read_only_udm.security_result.summary ממופה ישירות מהשדה complianceMetadata.1.requirementName.
complianceMetadata.1.standardName read_only_udm.security_result.rule_name ממופה ישירות מהשדה complianceMetadata.1.standardName.
complianceMetadata.2.requirementId read_only_udm.security_result.rule_id ממופה ישירות מהשדה complianceMetadata.2.requirementId.
complianceMetadata.2.requirementName read_only_udm.security_result.summary ממופה ישירות מהשדה complianceMetadata.2.requirementName.
complianceMetadata.2.standardName read_only_udm.security_result.rule_name ממופה ישירות מהשדה complianceMetadata.2.standardName.
complianceMetadata.3.requirementId read_only_udm.security_result.rule_id ממופה ישירות מהשדה complianceMetadata.3.requirementId.
complianceMetadata.3.requirementName read_only_udm.security_result.summary ממופה ישירות מהשדה complianceMetadata.3.requirementName.
complianceMetadata.3.standardName read_only_udm.security_result.rule_name ממופה ישירות מהשדה complianceMetadata.3.standardName.
complianceMetadata.4.requirementId read_only_udm.security_result.rule_id ממופה ישירות מהשדה complianceMetadata.4.requirementId.
complianceMetadata.4.requirementName read_only_udm.security_result.summary ממופה ישירות מהשדה complianceMetadata.4.requirementName.
complianceMetadata.4.standardName read_only_udm.security_result.rule_name ממופה ישירות מהשדה complianceMetadata.4.standardName.
event_data.app read_only_udm.target.application ממופה ישירות מהשדה event_data.app.
event_data.msg_data.account.cloudType read_only_udm.target.resource.attribute.cloud.environment ממופה מהשדה event_data.msg_data.account.cloudType. אם הערך הוא aws, הוא מוגדר כ-AMAZON_WEB_SERVICES.
event_data.msg_data.account.id read_only_udm.target.cloud.project.id ממופה ישירות מהשדה event_data.msg_data.account.id.
event_data.msg_data.account.name read_only_udm.target.cloud.project.name ממופה ישירות מהשדה event_data.msg_data.account.name.
event_data.msg_data.accountIDs read_only_udm.principal.resource.attribute.labels.event message accountId {index} ממופה ישירות ממערך event_data.msg_data.accountIDs.
event_data.msg_data.aggregatedAlerts.0.category read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.category.
event_data.msg_data.aggregatedAlerts.0.command read_only_udm.principal.process.command_line ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.command.
event_data.msg_data.aggregatedAlerts.0.collections read_only_udm.target.resource.attribute.labels.Collection {index} ממופה ישירות ממערך event_data.msg_data.aggregatedAlerts.0.collections.
event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.category read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.category.
event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.description read_only_udm.security_result.description ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.description.
event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.severity read_only_udm.security_result.severity ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.severity אחרי המרה לאותיות רישיות.
event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.title read_only_udm.security_result.action_details ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.title.
event_data.msg_data.aggregatedAlerts.0.container read_only_udm.target.resource.name ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.container.
event_data.msg_data.aggregatedAlerts.0.containerID read_only_udm.target.resource.product_object_id ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.containerID.
event_data.msg_data.aggregatedAlerts.0.fqdn read_only_udm.principal.domain.name ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.fqdn.
event_data.msg_data.aggregatedAlerts.0.host read_only_udm.principal.hostname ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.host.
event_data.msg_data.aggregatedAlerts.0.host read_only_udm.principal.asset.hostname ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.host.
event_data.msg_data.aggregatedAlerts.0.image read_only_udm.target.resource.attribute.labels.image ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.image.
event_data.msg_data.aggregatedAlerts.0.imageID read_only_udm.target.resource.attribute.labels.imageID ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.imageID.
event_data.msg_data.aggregatedAlerts.0.labels.controller-uid read_only_udm.target.user.product_object_id ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.labels.controller-uid.
event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.name read_only_udm.target.hostname ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.name.
event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.uid read_only_udm.target.resource.product_object_id ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.uid.
event_data.msg_data.aggregatedAlerts.0.msg_data read_only_udm.security_result.description ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.msg_data.
event_data.msg_data.aggregatedAlerts.0.rule read_only_udm.security_result.rule_name ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.rule.
event_data.msg_data.aggregatedAlerts.0.startupProcess read_only_udm.principal.application ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.startupProcess.
event_data.msg_data.aggregatedAlerts.0.time read_only_udm.metadata.event_timestamp.seconds ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.time אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.aggregatedAlerts.0.time read_only_udm.metadata.event_timestamp.nanos ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.time אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.aggregatedAlerts.0.type read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.type.
event_data.msg_data.aggregatedAlerts.0.user read_only_udm.principal.user.userid ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.user.
event_data.msg_data.alertId read_only_udm.security_result.detection_fields.event message alertId ממופה ישירות מהשדה event_data.msg_data.alertId.
event_data.msg_data.alertRuleId read_only_udm.security_result.rule_id ממופה ישירות מהשדה event_data.msg_data.alertRuleId.
event_data.msg_data.alertRuleName read_only_udm.security_result.rule_name ממופה ישירות מהשדה event_data.msg_data.alertRuleName.
event_data.msg_data.alertStatus read_only_udm.security_result.detection_fields.event message alertStatus ממופה ישירות מהשדה event_data.msg_data.alertStatus.
event_data.msg_data.alertTs read_only_udm.metadata.event_timestamp.seconds ממופה ישירות מהשדה event_data.msg_data.alertTs אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.alertTs read_only_udm.metadata.event_timestamp.nanos ממופה ישירות מהשדה event_data.msg_data.alertTs אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.category read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.msg_data.category.
event_data.msg_data.collections read_only_udm.target.resource.attribute.labels.Collection {index} ממופה ישירות ממערך event_data.msg_data.collections.
event_data.msg_data.command read_only_udm.principal.process.command_line ממופה ישירות מהשדה event_data.msg_data.command.
event_data.msg_data.complianceIssues.0.category read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.category.
event_data.msg_data.complianceIssues.0.description read_only_udm.security_result.description ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.description.
event_data.msg_data.complianceIssues.0.severity read_only_udm.security_result.severity ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.severity אחרי המרה לאותיות רישיות.
event_data.msg_data.complianceIssues.0.title read_only_udm.security_result.action_details ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.title.
event_data.msg_data.container read_only_udm.target.resource.name ממופה ישירות מהשדה event_data.msg_data.container.
event_data.msg_data.containerID read_only_udm.target.resource.product_object_id ממופה ישירות מהשדה event_data.msg_data.containerID.
event_data.msg_data.dropped read_only_udm.security_result.detection_fields.dropped ממופה ישירות מהשדה event_data.msg_data.dropped אחרי ההמרה למחרוזת.
event_data.msg_data.fqdn read_only_udm.principal.domain.name ממופה ישירות מהשדה event_data.msg_data.fqdn.
event_data.msg_data.firstSeen read_only_udm.security_result.first_discovered_time.seconds ממופה ישירות מהשדה event_data.msg_data.firstSeen אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.firstSeen read_only_udm.security_result.first_discovered_time.nanos ממופה ישירות מהשדה event_data.msg_data.firstSeen אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.host read_only_udm.principal.hostname ממופה ישירות מהשדה event_data.msg_data.host.
event_data.msg_data.host read_only_udm.principal.asset.hostname ממופה ישירות מהשדה event_data.msg_data.host.
event_data.msg_data.image read_only_udm.target.resource.attribute.labels.image ממופה ישירות מהשדה event_data.msg_data.image.
event_data.msg_data.imageID read_only_udm.target.resource.attribute.labels.imageID ממופה ישירות מהשדה event_data.msg_data.imageID.
event_data.msg_data.labels.controller-uid read_only_udm.target.user.product_object_id ממופה ישירות מהשדה event_data.msg_data.labels.controller-uid.
event_data.msg_data.labels.io.kubernetes.pod.name read_only_udm.target.hostname ממופה ישירות מהשדה event_data.msg_data.labels.io.kubernetes.pod.name.
event_data.msg_data.labels.io.kubernetes.pod.uid read_only_udm.target.resource.product_object_id ממופה ישירות מהשדה event_data.msg_data.labels.io.kubernetes.pod.uid.
event_data.msg_data.lastSeen read_only_udm.security_result.last_discovered_time.seconds ממופה ישירות מהשדה event_data.msg_data.lastSeen אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.lastSeen read_only_udm.security_result.last_discovered_time.nanos ממופה ישירות מהשדה event_data.msg_data.lastSeen אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.metadata.cveCritical read_only_udm.security_result.detection_fields.event_data metadata cveCritical ממופה ישירות מהשדה event_data.msg_data.metadata.cveCritical.
event_data.msg_data.metadata.cveHigh read_only_udm.security_result.detection_fields.event_data metadata cveHigh ממופה ישירות מהשדה event_data.msg_data.metadata.cveHigh.
event_data.msg_data.metadata.cveLow read_only_udm.security_result.detection_fields.event_data metadata cveLow ממופה ישירות מהשדה event_data.msg_data.metadata.cveLow.
event_data.msg_data.metadata.cveMedium read_only_udm.security_result.detection_fields.event_data metadata cveMedium ממופה ישירות מהשדה event_data.msg_data.metadata.cveMedium.
event_data.msg_data.metadata.source read_only_udm.principal.hostname ממופה ישירות מהשדה event_data.msg_data.metadata.source.
event_data.msg_data.metadata.source read_only_udm.principal.asset.hostname ממופה ישירות מהשדה event_data.msg_data.metadata.source.
event_data.msg_data.msg_data read_only_udm.security_result.description ממופה ישירות מהשדה event_data.msg_data.msg_data.
event_data.msg_data.policy.description read_only_udm.security_result.description ממופה ישירות מהשדה event_data.msg_data.policy.description.
event_data.msg_data.policy.id read_only_udm.security_result.detection_fields.policy_id ממופה ישירות מהשדה event_data.msg_data.policy.id.
event_data.msg_data.policy.name read_only_udm.security_result.summary ממופה ישירות מהשדה event_data.msg_data.policy.name.
event_data.msg_data.policy.policyTs read_only_udm.additional.fields.policy_ts ממופה ישירות מהשדה event_data.msg_data.policy.policyTs.
event_data.msg_data.policy.policyType read_only_udm.security_result.threat_name ממופה ישירות מהשדה event_data.msg_data.policy.policyType.
event_data.msg_data.policy.recommendation read_only_udm.security_result.action_details ממופה ישירות מהשדה event_data.msg_data.policy.recommendation.
event_data.msg_data.policy.severity read_only_udm.security_result.severity ממופה ישירות מהשדה event_data.msg_data.policy.severity אחרי המרה לאותיות רישיות.
event_data.msg_data.reason read_only_udm.security_result.detection_fields.event message reason ממופה ישירות מהשדה event_data.msg_data.reason.
event_data.msg_data.region read_only_udm.target.cloud.availability_zone ממופה ישירות מהשדה event_data.msg_data.region.
event_data.msg_data.resource.resourceId read_only_udm.target.resource.product_object_id ממופה ישירות מהשדה event_data.msg_data.resource.resourceId.
event_data.msg_data.resource.resourceName read_only_udm.target.resource.name ממופה ישירות מהשדה event_data.msg_data.resource.resourceName.
event_data.msg_data.resource.resourceTs read_only_udm.target.resource.attribute.creation_time.seconds ממופה ישירות מהשדה event_data.msg_data.resource.resourceTs אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.resource.resourceTs read_only_udm.target.resource.attribute.creation_time.nanos ממופה ישירות מהשדה event_data.msg_data.resource.resourceTs אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.rule read_only_udm.security_result.rule_name ממופה ישירות מהשדה event_data.msg_data.rule.
event_data.msg_data.service read_only_udm.security_result.detection_fields.event message service ממופה ישירות מהשדה event_data.msg_data.service.
event_data.msg_data.startupProcess read_only_udm.principal.application ממופה ישירות מהשדה event_data.msg_data.startupProcess.
event_data.msg_data.time read_only_udm.metadata.event_timestamp.seconds ממופה ישירות מהשדה event_data.msg_data.time אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.time read_only_udm.metadata.event_timestamp.nanos ממופה ישירות מהשדה event_data.msg_data.time אחרי המרה לחותמת זמן של UNIX.
event_data.msg_data.type read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.msg_data.type.
event_data.sentTs read_only_udm.metadata.event_timestamp.seconds ממופה ישירות מהשדה event_data.sentTs אחרי המרה לחותמת זמן של UNIX.
event_data.sentTs read_only_udm.metadata.event_timestamp.nanos ממופה ישירות מהשדה event_data.sentTs אחרי המרה לחותמת זמן של UNIX.
event_data.type read_only_udm.security_result.category_details ממופה ישירות מהשדה event_data.type.
ipAddress read_only_udm.principal.ip ממופה ישירות מהשדה ipAddress אחרי חילוץ כתובת ה-IP באמצעות grok.
ipAddress read_only_udm.principal.asset.ip ממופה ישירות מהשדה ipAddress אחרי חילוץ כתובת ה-IP באמצעות grok.
ipAddress read_only_udm.additional.fields.ipAddress ממופה ישירות מהשדה ipAddress אם הוא לא כתובת IP תקינה.
json_action.0.policy_id read_only_udm.target.resource.attribute.labels.Policy Id 0 ממופה ישירות מהשדה json_action.0.policy_id.
json_action.0.resource_name read_only_udm.target.resource.attribute.labels.Resource Name 0 ממופה ישירות מהשדה json_action.0.resource_name.
json_action.1.policy_id read_only_udm.target.resource.attribute.labels.Policy Id 1 ממופה ישירות מהשדה json_action.1.policy_id.
json_action.1.resource_name read_only_udm.target.resource.attribute.labels.Resource Name 1 ממופה ישירות מהשדה json_action.1.resource_name.
policy.policyId read_only_udm.security_result.rule_id ממופה ישירות מהשדה policy.policyId.
policy.policyType read_only_udm.security_result.rule_type ממופה ישירות מהשדה policy.policyType.
policy.recommendation read_only_udm.metadata.description ממופה ישירות מהשדה policy.recommendation.
policy.severity read_only_udm.security_result.severity ממופה מהשדה policy.severity. אם הערך הוא info, הוא מוגדר כ-INFORMATIONAL.
policyName read_only_udm.metadata.description ממופה ישירות מהשדה policyName.
reason read_only_udm.metadata.product_event_type ממופה ישירות מהשדה reason.
resource.accountId read_only_udm.target.resource.product_object_id ממופה ישירות מהשדה resource.accountId.
resource.cloudServiceName read_only_udm.target.resource.attribute.labels.cloudServiceName ממופה ישירות מהשדה resource.cloudServiceName.
resource.data.architecture read_only_udm.principal.asset.hardware.cpu_platform ממופה ישירות מהשדה resource.data.architecture.
resource.data.cpuPlatform read_only_udm.additional.fields.CPU Platform ממופה ישירות מהשדה resource.data.cpuPlatform.
resource.data.labelFingerprint read_only_udm.security_result.detection_fields.labelFingerprint ממופה ישירות מהשדה resource.data.labelFingerprint.
resource.data.metadata.items.key read_only_udm.additional.fields.key ממופה ישירות מהשדה resource.data.metadata.items.key.
resource.data.metadata.items.value read_only_udm.additional.fields.value.string_value ממופה ישירות מהשדה resource.data.metadata.items.value.
resource.data.networkInterfaces.0.accessConfigs.0.natIP read_only_udm.target.nat_ip ממופה ישירות מהשדה resource.data.networkInterfaces.0.accessConfigs.0.natIP.
resource.data.networkInterfaces.0.networkIP read_only_udm.target.ip ממופה ישירות מהשדה resource.data.networkInterfaces.0.networkIP.
resource.data.networkInterfaces.0.networkIP read_only_udm.target.asset.ip ממופה ישירות מהשדה resource.data.networkInterfaces.0.networkIP.
resource.data.physicalBlockSizeBytes read_only_udm.principal.resource.attribute.labels.physicalBlockSizeBytes ממופה ישירות מהשדה resource.data.physicalBlockSizeBytes אחרי ההמרה למחרוזת.
resource.data.selfLink read_only_udm.about.url ממופה ישירות מהשדה resource.data.selfLink.
resource.data.serviceAccounts.0.email read_only_udm.principal.user.email_addresses ממופה ישירות מהשדה resource.data.serviceAccounts.0.email.
resource.data.serviceAccounts.0.email read_only_udm.principal.user.attribute.roles.type אם resource.data.serviceAccounts.0.email מכיל את המחרוזת serviceaccount, הערך מוגדר כ-SERVICE_ACCOUNT.
resource.data.sizeGb read_only_udm.principal.resource.attribute.labels.sizeGb ממופה ישירות מהשדה resource.data.sizeGb.
resource.data.sourceImage read_only_udm.principal.resource.attribute.labels.sourceImage ממופה ישירות מהשדה resource.data.sourceImage.
resource.name read_only_udm.target.resource.name ממופה ישירות מהשדה resource.name.
resource.regionId read_only_udm.target.location.country_or_region מיפוי ישיר מ-`resource

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.