איסוף יומנים של Palo Alto Prisma Cloud
נתמך ב:
Google SecOps
SIEM
במסמך הזה מוסבר איך אוספים יומנים של Palo Alto Prisma Cloud באמצעות הגדרת פיד של Google Security Operations.
מידע נוסף זמין במאמר הטמעת נתונים ב-Google Security Operations.
תווית הטמעה מזהה את המנתח שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח עם תווית הטמעת הנתונים PAN_PRISMA_CLOUD.
הגדרת Palo Alto Prisma Cloud
- נכנסים למסוף Palo Alto Prisma Cloud באמצעות חשבון אדמין.
- בתפריט הגדרות, לוחצים על מפתחות גישה.
- לוחצים על Add New (הוספת חדש) ומזינים Name (שם).
לוחצים על יצירה. הערכים של Access Key ID ו-Secret Key מופיעים.
שומרים את הערכים של Access Key ID ו-Secret Key. הערכים האלה נדרשים כשמגדירים את הפיד של Google Security Operations.
הגדרת פידים
כדי להגדיר פיד:
- עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
- לוחצים על הוספת פיד חדש.
- בדף הבא, לוחצים על הגדרת פיד יחיד.
- בשדה Feed name, נותנים שם לפיד, לדוגמה Palo Alto Prisma Cloud Logs.
- בוחרים באפשרות API של צד שלישי בתור סוג המקור.
- בוחרים באפשרות Palo Alto Prisma Cloud בתור Log Type.
- לוחצים על הבא.
- מגדירים את פרמטרי הקלט הבאים, שהם חובה:
- שם משתמש: מציינים את מזהה מפתח הגישה שקיבלתם קודם.
- סיסמה: מציינים את המפתח הסודי שקיבלתם קודם.
- שם המארח של ה-API: מציינים את שם המארח של ה-API.
- לוחצים על הבא ואז על שליחה.
הפניה למיפוי שדות
קוד המנתח הזה מחלץ שדות מיומני PAN PRISMA CLOUD בפורמט JSON, מבצע טרנספורמציות ומיפויים של נתונים כדי להמיר את הנתונים לסכימת UDM של Chronicle. הוא מטפל במבנים שונים של הודעות ביומן, כולל אובייקטים ומערכים בתצוגת עץ, כדי לנרמל אירועי אבטחה שונים ומידע לפי הקשר לצורך ניתוח ב-Chronicle.
טבלת מיפוי UDM
| שדה ביומן | מיפוי UDM | Logic (פונקציה לוגית) |
|---|---|---|
| accountName | read_only_udm.target.resource.attribute.cloud.project.id | ממופה ישירות מהשדה accountName. |
| accountId | read_only_udm.target.hostname | ממופה ישירות מהשדה accountId. |
| accountId | read_only_udm.target.asset.hostname | ממופה ישירות מהשדה accountId. |
| accountId | read_only_udm.principal.cloud.project.id | ממופה ישירות מהשדה accountId במערך aggregatedAlerts. |
| פעולה | read_only_udm.security_result.description | מיפוי ישיר מהשדה action אחרי הסרת החלק של ה-JSON. |
| alertId | read_only_udm.metadata.product_log_id | ממופה ישירות מהשדה alertId. |
| alertRules.0.allowAutoRemediate | read_only_udm.security_result.detection_fields.allowAutoRemediate_0 | ממופה ישירות מהשדה alertRules.0.allowAutoRemediate. |
| alertRules.0.enabled | read_only_udm.security_result.detection_fields.enabled_0 | ממופה ישירות מהשדה alertRules.0.enabled. |
| alertRules.0.name | read_only_udm.security_result.detection_fields.name_0 | ממופה ישירות מהשדה alertRules.0.name. |
| alertRules.0.notifyOnDismissed | read_only_udm.security_result.detection_fields.notifyOnDismissed_0 | ממופה ישירות מהשדה alertRules.0.notifyOnDismissed. |
| alertRules.0.notifyOnOpen | read_only_udm.security_result.detection_fields.notifyOnOpen_0 | ממופה ישירות מהשדה alertRules.0.notifyOnOpen. |
| alertRules.0.notifyOnResolved | read_only_udm.security_result.detection_fields.notifyOnResolved_0 | ממופה ישירות מהשדה alertRules.0.notifyOnResolved. |
| alertRules.0.notifyOnSnoozed | read_only_udm.security_result.detection_fields.notifyOnSnoozed_0 | ממופה ישירות מהשדה alertRules.0.notifyOnSnoozed. |
| alertRules.0.policyScanConfigId | read_only_udm.security_result.detection_fields.policyScanConfigId_0 | ממופה ישירות מהשדה alertRules.0.policyScanConfigId. |
| alertRules.0.scanAll | read_only_udm.security_result.detection_fields.scanAll_0 | ממופה ישירות מהשדה alertRules.0.scanAll. |
| alertRules.1.allowAutoRemediate | read_only_udm.security_result.detection_fields.allowAutoRemediate_1 | ממופה ישירות מהשדה alertRules.1.allowAutoRemediate. |
| alertRules.1.createdBy | read_only_udm.principal.user.email_addresses | ממופה ישירות מהשדה alertRules.1.createdBy. |
| alertRules.1.enabled | read_only_udm.security_result.detection_fields.enabled_1 | ממופה ישירות מהשדה alertRules.1.enabled. |
| alertRules.1.name | read_only_udm.security_result.detection_fields.name_1 | ממופה ישירות מהשדה alertRules.1.name. |
| alertRules.1.notifyOnDismissed | read_only_udm.security_result.detection_fields.notifyOnDismissed_1 | ממופה ישירות מהשדה alertRules.1.notifyOnDismissed. |
| alertRules.1.notifyOnOpen | read_only_udm.security_result.detection_fields.notifyOnOpen_1 | ממופה ישירות מהשדה alertRules.1.notifyOnOpen. |
| alertRules.1.notifyOnResolved | read_only_udm.security_result.detection_fields.notifyOnResolved_1 | ממופה ישירות מהשדה alertRules.1.notifyOnResolved. |
| alertRules.1.notifyOnSnoozed | read_only_udm.security_result.detection_fields.notifyOnSnoozed_1 | ממופה ישירות מהשדה alertRules.1.notifyOnSnoozed. |
| alertRules.1.policyScanConfigId | read_only_udm.security_result.detection_fields.policyScanConfigId_1 | ממופה ישירות מהשדה alertRules.1.policyScanConfigId. |
| alertRules.1.scanAll | read_only_udm.security_result.detection_fields.scanAll_1 | ממופה ישירות מהשדה alertRules.1.scanAll. |
| alertRules.2.allowAutoRemediate | read_only_udm.security_result.detection_fields.allowAutoRemediate_2 | ממופה ישירות מהשדה alertRules.2.allowAutoRemediate. |
| alertRules.2.createdBy | read_only_udm.principal.user.email_addresses | ממופה ישירות מהשדה alertRules.2.createdBy. |
| alertRules.2.enabled | read_only_udm.security_result.detection_fields.enabled_2 | ממופה ישירות מהשדה alertRules.2.enabled. |
| alertRules.2.name | read_only_udm.security_result.detection_fields.name_2 | ממופה ישירות מהשדה alertRules.2.name. |
| alertRules.2.notifyOnDismissed | read_only_udm.security_result.detection_fields.notifyOnDismissed_2 | ממופה ישירות מהשדה alertRules.2.notifyOnDismissed. |
| alertRules.2.notifyOnOpen | read_only_udm.security_result.detection_fields.notifyOnOpen_2 | ממופה ישירות מהשדה alertRules.2.notifyOnOpen. |
| alertRules.2.notifyOnResolved | read_only_udm.security_result.detection_fields.notifyOnResolved_2 | ממופה ישירות מהשדה alertRules.2.notifyOnResolved. |
| alertRules.2.notifyOnSnoozed | read_only_udm.security_result.detection_fields.notifyOnSnoozed_2 | ממופה ישירות מהשדה alertRules.2.notifyOnSnoozed. |
| alertRules.2.policyScanConfigId | read_only_udm.security_result.detection_fields.policyScanConfigId_2 | ממופה ישירות מהשדה alertRules.2.policyScanConfigId. |
| alertRules.2.scanAll | read_only_udm.security_result.detection_fields.scanAll_2 | ממופה ישירות מהשדה alertRules.2.scanAll. |
| alertRuleId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה alertRuleId. |
| alertRuleName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה alertRuleName. |
| alertStatus | read_only_udm.security_result.detection_fields.event message alertStatus | ממופה ישירות מהשדה alertStatus באובייקט event_data.msg_data. |
| alertTs | read_only_udm.metadata.event_timestamp.seconds | ממופה ישירות מהשדה alertTs אחרי המרה לחותמת זמן של UNIX. |
| alertTs | read_only_udm.metadata.event_timestamp.nanos | ממופה ישירות מהשדה alertTs אחרי המרה לחותמת זמן של UNIX. |
| callbackUrl | read_only_udm.metadata.url_back_to_product | ממופה ישירות מהשדה callbackUrl. |
| cloudServiceName | read_only_udm.target.resource.attribute.labels.cloudServiceName | ממופה ישירות מהשדה cloudServiceName. |
| cloudType | read_only_udm.target.resource.attribute.cloud.environment | מופה מהשדה cloudType. אם הערך של cloudType הוא "gcp", הערך מוגדר כ-"GOOGLE_CLOUD_PLATFORM". אם הערך של cloudType הוא aws, הערך מוגדר כ-AMAZON_WEB_SERVICES. |
| complianceMetadata.0.requirementId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה complianceMetadata.0.requirementId. |
| complianceMetadata.0.requirementName | read_only_udm.security_result.summary | ממופה ישירות מהשדה complianceMetadata.0.requirementName. |
| complianceMetadata.0.standardName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה complianceMetadata.0.standardName. |
| complianceMetadata.1.requirementId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה complianceMetadata.1.requirementId. |
| complianceMetadata.1.requirementName | read_only_udm.security_result.summary | ממופה ישירות מהשדה complianceMetadata.1.requirementName. |
| complianceMetadata.1.standardName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה complianceMetadata.1.standardName. |
| complianceMetadata.2.requirementId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה complianceMetadata.2.requirementId. |
| complianceMetadata.2.requirementName | read_only_udm.security_result.summary | ממופה ישירות מהשדה complianceMetadata.2.requirementName. |
| complianceMetadata.2.standardName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה complianceMetadata.2.standardName. |
| complianceMetadata.3.requirementId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה complianceMetadata.3.requirementId. |
| complianceMetadata.3.requirementName | read_only_udm.security_result.summary | ממופה ישירות מהשדה complianceMetadata.3.requirementName. |
| complianceMetadata.3.standardName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה complianceMetadata.3.standardName. |
| complianceMetadata.4.requirementId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה complianceMetadata.4.requirementId. |
| complianceMetadata.4.requirementName | read_only_udm.security_result.summary | ממופה ישירות מהשדה complianceMetadata.4.requirementName. |
| complianceMetadata.4.standardName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה complianceMetadata.4.standardName. |
| event_data.app | read_only_udm.target.application | ממופה ישירות מהשדה event_data.app. |
| event_data.msg_data.account.cloudType | read_only_udm.target.resource.attribute.cloud.environment | מופה מהשדה event_data.msg_data.account.cloudType. אם הערך הוא aws, הוא מוגדר כ-AMAZON_WEB_SERVICES. |
| event_data.msg_data.account.id | read_only_udm.target.cloud.project.id | ממופה ישירות מהשדה event_data.msg_data.account.id. |
| event_data.msg_data.account.name | read_only_udm.target.cloud.project.name | ממופה ישירות מהשדה event_data.msg_data.account.name. |
| event_data.msg_data.accountIDs | read_only_udm.principal.resource.attribute.labels.event message accountId {index} | ממופה ישירות ממערך event_data.msg_data.accountIDs. |
| event_data.msg_data.aggregatedAlerts.0.category | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.category. |
| event_data.msg_data.aggregatedAlerts.0.command | read_only_udm.principal.process.command_line | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.command. |
| event_data.msg_data.aggregatedAlerts.0.collections | read_only_udm.target.resource.attribute.labels.Collection {index} | ממופה ישירות ממערך event_data.msg_data.aggregatedAlerts.0.collections. |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.category | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.category. |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.description | read_only_udm.security_result.description | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.description. |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.severity | read_only_udm.security_result.severity | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.severity אחרי המרה לאותיות רישיות. |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.title | read_only_udm.security_result.action_details | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.title. |
| event_data.msg_data.aggregatedAlerts.0.container | read_only_udm.target.resource.name | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.container. |
| event_data.msg_data.aggregatedAlerts.0.containerID | read_only_udm.target.resource.product_object_id | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.containerID. |
| event_data.msg_data.aggregatedAlerts.0.fqdn | read_only_udm.principal.domain.name | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.fqdn. |
| event_data.msg_data.aggregatedAlerts.0.host | read_only_udm.principal.hostname | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.host. |
| event_data.msg_data.aggregatedAlerts.0.host | read_only_udm.principal.asset.hostname | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.host. |
| event_data.msg_data.aggregatedAlerts.0.image | read_only_udm.target.resource.attribute.labels.image | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.image. |
| event_data.msg_data.aggregatedAlerts.0.imageID | read_only_udm.target.resource.attribute.labels.imageID | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.imageID. |
| event_data.msg_data.aggregatedAlerts.0.labels.controller-uid | read_only_udm.target.user.product_object_id | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.labels.controller-uid. |
| event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.name | read_only_udm.target.hostname | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.name. |
| event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.uid | read_only_udm.target.resource.product_object_id | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.uid. |
| event_data.msg_data.aggregatedAlerts.0.msg_data | read_only_udm.security_result.description | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.msg_data. |
| event_data.msg_data.aggregatedAlerts.0.rule | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.rule. |
| event_data.msg_data.aggregatedAlerts.0.startupProcess | read_only_udm.principal.application | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.startupProcess. |
| event_data.msg_data.aggregatedAlerts.0.time | read_only_udm.metadata.event_timestamp.seconds | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.time אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.aggregatedAlerts.0.time | read_only_udm.metadata.event_timestamp.nanos | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.time אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.aggregatedAlerts.0.type | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.type. |
| event_data.msg_data.aggregatedAlerts.0.user | read_only_udm.principal.user.userid | ממופה ישירות מהשדה event_data.msg_data.aggregatedAlerts.0.user. |
| event_data.msg_data.alertId | read_only_udm.security_result.detection_fields.event message alertId | ממופה ישירות מהשדה event_data.msg_data.alertId. |
| event_data.msg_data.alertRuleId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה event_data.msg_data.alertRuleId. |
| event_data.msg_data.alertRuleName | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה event_data.msg_data.alertRuleName. |
| event_data.msg_data.alertStatus | read_only_udm.security_result.detection_fields.event message alertStatus | ממופה ישירות מהשדה event_data.msg_data.alertStatus. |
| event_data.msg_data.alertTs | read_only_udm.metadata.event_timestamp.seconds | ממופה ישירות מהשדה event_data.msg_data.alertTs אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.alertTs | read_only_udm.metadata.event_timestamp.nanos | ממופה ישירות מהשדה event_data.msg_data.alertTs אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.category | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.msg_data.category. |
| event_data.msg_data.collections | read_only_udm.target.resource.attribute.labels.Collection {index} | ממופה ישירות ממערך event_data.msg_data.collections. |
| event_data.msg_data.command | read_only_udm.principal.process.command_line | ממופה ישירות מהשדה event_data.msg_data.command. |
| event_data.msg_data.complianceIssues.0.category | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.category. |
| event_data.msg_data.complianceIssues.0.description | read_only_udm.security_result.description | ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.description. |
| event_data.msg_data.complianceIssues.0.severity | read_only_udm.security_result.severity | ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.severity אחרי המרה לאותיות רישיות. |
| event_data.msg_data.complianceIssues.0.title | read_only_udm.security_result.action_details | ממופה ישירות מהשדה event_data.msg_data.complianceIssues.0.title. |
| event_data.msg_data.container | read_only_udm.target.resource.name | ממופה ישירות מהשדה event_data.msg_data.container. |
| event_data.msg_data.containerID | read_only_udm.target.resource.product_object_id | ממופה ישירות מהשדה event_data.msg_data.containerID. |
| event_data.msg_data.dropped | read_only_udm.security_result.detection_fields.dropped | ממופה ישירות מהשדה event_data.msg_data.dropped אחרי המרה למחרוזת. |
| event_data.msg_data.fqdn | read_only_udm.principal.domain.name | ממופה ישירות מהשדה event_data.msg_data.fqdn. |
| event_data.msg_data.firstSeen | read_only_udm.security_result.first_discovered_time.seconds | ממופה ישירות מהשדה event_data.msg_data.firstSeen אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.firstSeen | read_only_udm.security_result.first_discovered_time.nanos | ממופה ישירות מהשדה event_data.msg_data.firstSeen אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.host | read_only_udm.principal.hostname | ממופה ישירות מהשדה event_data.msg_data.host. |
| event_data.msg_data.host | read_only_udm.principal.asset.hostname | ממופה ישירות מהשדה event_data.msg_data.host. |
| event_data.msg_data.image | read_only_udm.target.resource.attribute.labels.image | ממופה ישירות מהשדה event_data.msg_data.image. |
| event_data.msg_data.imageID | read_only_udm.target.resource.attribute.labels.imageID | ממופה ישירות מהשדה event_data.msg_data.imageID. |
| event_data.msg_data.labels.controller-uid | read_only_udm.target.user.product_object_id | ממופה ישירות מהשדה event_data.msg_data.labels.controller-uid. |
| event_data.msg_data.labels.io.kubernetes.pod.name | read_only_udm.target.hostname | ממופה ישירות מהשדה event_data.msg_data.labels.io.kubernetes.pod.name. |
| event_data.msg_data.labels.io.kubernetes.pod.uid | read_only_udm.target.resource.product_object_id | ממופה ישירות מהשדה event_data.msg_data.labels.io.kubernetes.pod.uid. |
| event_data.msg_data.lastSeen | read_only_udm.security_result.last_discovered_time.seconds | ממופה ישירות מהשדה event_data.msg_data.lastSeen אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.lastSeen | read_only_udm.security_result.last_discovered_time.nanos | ממופה ישירות מהשדה event_data.msg_data.lastSeen אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.metadata.cveCritical | read_only_udm.security_result.detection_fields.event_data metadata cveCritical | ממופה ישירות מהשדה event_data.msg_data.metadata.cveCritical. |
| event_data.msg_data.metadata.cveHigh | read_only_udm.security_result.detection_fields.event_data metadata cveHigh | ממופה ישירות מהשדה event_data.msg_data.metadata.cveHigh. |
| event_data.msg_data.metadata.cveLow | read_only_udm.security_result.detection_fields.event_data metadata cveLow | ממופה ישירות מהשדה event_data.msg_data.metadata.cveLow. |
| event_data.msg_data.metadata.cveMedium | read_only_udm.security_result.detection_fields.event_data metadata cveMedium | ממופה ישירות מהשדה event_data.msg_data.metadata.cveMedium. |
| event_data.msg_data.metadata.source | read_only_udm.principal.hostname | ממופה ישירות מהשדה event_data.msg_data.metadata.source. |
| event_data.msg_data.metadata.source | read_only_udm.principal.asset.hostname | ממופה ישירות מהשדה event_data.msg_data.metadata.source. |
| event_data.msg_data.msg_data | read_only_udm.security_result.description | ממופה ישירות מהשדה event_data.msg_data.msg_data. |
| event_data.msg_data.policy.description | read_only_udm.security_result.description | ממופה ישירות מהשדה event_data.msg_data.policy.description. |
| event_data.msg_data.policy.id | read_only_udm.security_result.detection_fields.policy_id | ממופה ישירות מהשדה event_data.msg_data.policy.id. |
| event_data.msg_data.policy.name | read_only_udm.security_result.summary | ממופה ישירות מהשדה event_data.msg_data.policy.name. |
| event_data.msg_data.policy.policyTs | read_only_udm.additional.fields.policy_ts | ממופה ישירות מהשדה event_data.msg_data.policy.policyTs. |
| event_data.msg_data.policy.policyType | read_only_udm.security_result.threat_name | ממופה ישירות מהשדה event_data.msg_data.policy.policyType. |
| event_data.msg_data.policy.recommendation | read_only_udm.security_result.action_details | ממופה ישירות מהשדה event_data.msg_data.policy.recommendation. |
| event_data.msg_data.policy.severity | read_only_udm.security_result.severity | ממופה ישירות מהשדה event_data.msg_data.policy.severity אחרי המרה לאותיות רישיות. |
| event_data.msg_data.reason | read_only_udm.security_result.detection_fields.event message reason | ממופה ישירות מהשדה event_data.msg_data.reason. |
| event_data.msg_data.region | read_only_udm.target.cloud.availability_zone | ממופה ישירות מהשדה event_data.msg_data.region. |
| event_data.msg_data.resource.resourceId | read_only_udm.target.resource.product_object_id | ממופה ישירות מהשדה event_data.msg_data.resource.resourceId. |
| event_data.msg_data.resource.resourceName | read_only_udm.target.resource.name | ממופה ישירות מהשדה event_data.msg_data.resource.resourceName. |
| event_data.msg_data.resource.resourceTs | read_only_udm.target.resource.attribute.creation_time.seconds | ממופה ישירות מהשדה event_data.msg_data.resource.resourceTs אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.resource.resourceTs | read_only_udm.target.resource.attribute.creation_time.nanos | ממופה ישירות מהשדה event_data.msg_data.resource.resourceTs אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.rule | read_only_udm.security_result.rule_name | ממופה ישירות מהשדה event_data.msg_data.rule. |
| event_data.msg_data.service | read_only_udm.security_result.detection_fields.event message service | ממופה ישירות מהשדה event_data.msg_data.service. |
| event_data.msg_data.startupProcess | read_only_udm.principal.application | ממופה ישירות מהשדה event_data.msg_data.startupProcess. |
| event_data.msg_data.time | read_only_udm.metadata.event_timestamp.seconds | ממופה ישירות מהשדה event_data.msg_data.time אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.time | read_only_udm.metadata.event_timestamp.nanos | ממופה ישירות מהשדה event_data.msg_data.time אחרי המרה לחותמת זמן של UNIX. |
| event_data.msg_data.type | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.msg_data.type. |
| event_data.sentTs | read_only_udm.metadata.event_timestamp.seconds | ממופה ישירות מהשדה event_data.sentTs אחרי המרה לחותמת זמן של UNIX. |
| event_data.sentTs | read_only_udm.metadata.event_timestamp.nanos | ממופה ישירות מהשדה event_data.sentTs אחרי המרה לחותמת זמן של UNIX. |
| event_data.type | read_only_udm.security_result.category_details | ממופה ישירות מהשדה event_data.type. |
| ipAddress | read_only_udm.principal.ip | מיפוי ישיר מהשדה ipAddress אחרי חילוץ כתובת ה-IP באמצעות grok. |
| ipAddress | read_only_udm.principal.asset.ip | מיפוי ישיר מהשדה ipAddress אחרי חילוץ כתובת ה-IP באמצעות grok. |
| ipAddress | read_only_udm.additional.fields.ipAddress | ממופה ישירות מהשדה ipAddress אם זו לא כתובת IP חוקית. |
| json_action.0.policy_id | read_only_udm.target.resource.attribute.labels.Policy Id 0 | ממופה ישירות מהשדה json_action.0.policy_id. |
| json_action.0.resource_name | read_only_udm.target.resource.attribute.labels.Resource Name 0 | ממופה ישירות מהשדה json_action.0.resource_name. |
| json_action.1.policy_id | read_only_udm.target.resource.attribute.labels.Policy Id 1 | ממופה ישירות מהשדה json_action.1.policy_id. |
| json_action.1.resource_name | read_only_udm.target.resource.attribute.labels.Resource Name 1 | ממופה ישירות מהשדה json_action.1.resource_name. |
| policy.policyId | read_only_udm.security_result.rule_id | ממופה ישירות מהשדה policy.policyId. |
| policy.policyType | read_only_udm.security_result.rule_type | ממופה ישירות מהשדה policy.policyType. |
| policy.recommendation | read_only_udm.metadata.description | ממופה ישירות מהשדה policy.recommendation. |
| policy.severity | read_only_udm.security_result.severity | מופה מהשדה policy.severity. אם הערך הוא "info", הוא מוגדר כ-"INFORMATIONAL". |
| policyName | read_only_udm.metadata.description | ממופה ישירות מהשדה policyName. |
| reason | read_only_udm.metadata.product_event_type | ממופה ישירות מהשדה reason. |
| resource.accountId | read_only_udm.target.resource.product_object_id | ממופה ישירות מהשדה resource.accountId. |
| resource.cloudServiceName | read_only_udm.target.resource.attribute.labels.cloudServiceName | ממופה ישירות מהשדה resource.cloudServiceName. |
| resource.data.architecture | read_only_udm.principal.asset.hardware.cpu_platform | ממופה ישירות מהשדה resource.data.architecture. |
| resource.data.cpuPlatform | read_only_udm.additional.fields.CPU Platform | ממופה ישירות מהשדה resource.data.cpuPlatform. |
| resource.data.labelFingerprint | read_only_udm.security_result.detection_fields.labelFingerprint | ממופה ישירות מהשדה resource.data.labelFingerprint. |
| resource.data.metadata.items.key | read_only_udm.additional.fields.key | ממופה ישירות מהשדה resource.data.metadata.items.key. |
| resource.data.metadata.items.value | read_only_udm.additional.fields.value.string_value | ממופה ישירות מהשדה resource.data.metadata.items.value. |
| resource.data.networkInterfaces.0.accessConfigs.0.natIP | read_only_udm.target.nat_ip | ממופה ישירות מהשדה resource.data.networkInterfaces.0.accessConfigs.0.natIP. |
| resource.data.networkInterfaces.0.networkIP | read_only_udm.target.ip | ממופה ישירות מהשדה resource.data.networkInterfaces.0.networkIP. |
| resource.data.networkInterfaces.0.networkIP | read_only_udm.target.asset.ip | ממופה ישירות מהשדה resource.data.networkInterfaces.0.networkIP. |
| resource.data.physicalBlockSizeBytes | read_only_udm.principal.resource.attribute.labels.physicalBlockSizeBytes | ממופה ישירות מהשדה resource.data.physicalBlockSizeBytes אחרי המרה למחרוזת. |
| resource.data.selfLink | read_only_udm.about.url | ממופה ישירות מהשדה resource.data.selfLink. |
| resource.data.serviceAccounts.0.email | read_only_udm.principal.user.email_addresses | ממופה ישירות מהשדה resource.data.serviceAccounts.0.email. |
| resource.data.serviceAccounts.0.email | read_only_udm.principal.user.attribute.roles.type | אם resource.data.serviceAccounts.0.email מכיל את הערך "serviceaccount", הערך מוגדר כ-"SERVICE_ACCOUNT". |
| resource.data.sizeGb | read_only_udm.principal.resource.attribute.labels.sizeGb | ממופה ישירות מהשדה resource.data.sizeGb. |
| resource.data.sourceImage | read_only_udm.principal.resource.attribute.labels.sourceImage | ממופה ישירות מהשדה resource.data.sourceImage. |
| resource.name | read_only_udm.target.resource.name | ממופה ישירות מהשדה resource.name. |
| resource.regionId | read_only_udm.target.location.country_or_region | ממופה ישירות מ-`resource |
יומן שינויים
הצגת יומן השינויים של המנתח הזה
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.