收集 Palo Alto Prisma Cloud 記錄
支援的服務：
Google SecOps
SIEM
本文說明如何設定 Google Security Operations 動態饋給，收集 Palo Alto Prisma Cloud 記錄。
詳情請參閱「將資料擷取至 Google Security Operations」。
擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 PAN_PRISMA_CLOUD 擷取標籤的剖析器。
設定 Palo Alto Prisma Cloud
- 使用管理員帳戶登入 Palo Alto Prisma Cloud 控制台。
- 在「設定」選單中，按一下「存取金鑰」。
- 按一下「Add New」，然後輸入「Name」。
點選「建立」。「Access Key ID」和「Secret Key」值隨即顯示。
儲存存取金鑰 ID 和密鑰值。設定 Google Security Operations 動態饋給時，必須提供這些值。
設定動態饋給
如要設定動態饋給，請按照下列步驟操作：
- 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
- 按一下「新增動態饋給」。
- 在下一頁，點按「設定單一動態饋給」。
- 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱，例如 Palo Alto Prisma Cloud Logs。
- 在「Source Type」部分選取「Third party API」。
- 在「Log Type」(記錄類型) 選取「Palo Alto Prisma Cloud」。
- 點選「下一步」。
- 設定下列必要輸入參數：
- 使用者名稱：指定先前取得的存取金鑰 ID。
- Password: 指定先前取得的 Secret Key。
- API hostname：指定 API 主機名稱。
- 依序點按「繼續」和「提交」。
欄位對應參考資料
這段剖析器程式碼會從 JSON 格式的 PAN PRISMA CLOUD 記錄擷取欄位、執行資料轉換和對應，將資料結構化為 Chronicle UDM 結構定義。可處理各種記錄訊息結構，包括巢狀物件和陣列，將各種安全性事件和背景資訊標準化，以便在 Chronicle 中分析。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
| accountName | read_only_udm.target.resource.attribute.cloud.project.id | 直接從 accountName 欄位對應。 |
| accountId | read_only_udm.target.hostname | 直接從 accountId 欄位對應。 |
| accountId | read_only_udm.target.asset.hostname | 直接從 accountId 欄位對應。 |
| accountId | read_only_udm.principal.cloud.project.id | 直接從 aggregatedAlerts 陣列中的 accountId 欄位對應。 |
| 動作 | read_only_udm.security_result.description | 移除 JSON 部分後，直接從 action 欄位對應。 |
| alertId | read_only_udm.metadata.product_log_id | 直接從 alertId 欄位對應。 |
| alertRules.0.allowAutoRemediate | read_only_udm.security_result.detection_fields.allowAutoRemediate_0 | 直接從 alertRules.0.allowAutoRemediate 欄位對應。 |
| alertRules.0.enabled | read_only_udm.security_result.detection_fields.enabled_0 | 直接從 alertRules.0.enabled 欄位對應。 |
| alertRules.0.name | read_only_udm.security_result.detection_fields.name_0 | 直接從 alertRules.0.name 欄位對應。 |
| alertRules.0.notifyOnDismissed | read_only_udm.security_result.detection_fields.notifyOnDismissed_0 | 直接從 alertRules.0.notifyOnDismissed 欄位對應。 |
| alertRules.0.notifyOnOpen | read_only_udm.security_result.detection_fields.notifyOnOpen_0 | 直接從 alertRules.0.notifyOnOpen 欄位對應。 |
| alertRules.0.notifyOnResolved | read_only_udm.security_result.detection_fields.notifyOnResolved_0 | 直接從 alertRules.0.notifyOnResolved 欄位對應。 |
| alertRules.0.notifyOnSnoozed | read_only_udm.security_result.detection_fields.notifyOnSnoozed_0 | 直接從 alertRules.0.notifyOnSnoozed 欄位對應。 |
| alertRules.0.policyScanConfigId | read_only_udm.security_result.detection_fields.policyScanConfigId_0 | 直接從 alertRules.0.policyScanConfigId 欄位對應。 |
| alertRules.0.scanAll | read_only_udm.security_result.detection_fields.scanAll_0 | 直接從 alertRules.0.scanAll 欄位對應。 |
| alertRules.1.allowAutoRemediate | read_only_udm.security_result.detection_fields.allowAutoRemediate_1 | 直接從 alertRules.1.allowAutoRemediate 欄位對應。 |
| alertRules.1.createdBy | read_only_udm.principal.user.email_addresses | 直接從 alertRules.1.createdBy 欄位對應。 |
| alertRules.1.enabled | read_only_udm.security_result.detection_fields.enabled_1 | 直接從 alertRules.1.enabled 欄位對應。 |
| alertRules.1.name | read_only_udm.security_result.detection_fields.name_1 | 直接從 alertRules.1.name 欄位對應。 |
| alertRules.1.notifyOnDismissed | read_only_udm.security_result.detection_fields.notifyOnDismissed_1 | 直接從 alertRules.1.notifyOnDismissed 欄位對應。 |
| alertRules.1.notifyOnOpen | read_only_udm.security_result.detection_fields.notifyOnOpen_1 | 直接從 alertRules.1.notifyOnOpen 欄位對應。 |
| alertRules.1.notifyOnResolved | read_only_udm.security_result.detection_fields.notifyOnResolved_1 | 直接從 alertRules.1.notifyOnResolved 欄位對應。 |
| alertRules.1.notifyOnSnoozed | read_only_udm.security_result.detection_fields.notifyOnSnoozed_1 | 直接從 alertRules.1.notifyOnSnoozed 欄位對應。 |
| alertRules.1.policyScanConfigId | read_only_udm.security_result.detection_fields.policyScanConfigId_1 | 直接從 alertRules.1.policyScanConfigId 欄位對應。 |
| alertRules.1.scanAll | read_only_udm.security_result.detection_fields.scanAll_1 | 直接從 alertRules.1.scanAll 欄位對應。 |
| alertRules.2.allowAutoRemediate | read_only_udm.security_result.detection_fields.allowAutoRemediate_2 | 直接從 alertRules.2.allowAutoRemediate 欄位對應。 |
| alertRules.2.createdBy | read_only_udm.principal.user.email_addresses | 直接從 alertRules.2.createdBy 欄位對應。 |
| alertRules.2.enabled | read_only_udm.security_result.detection_fields.enabled_2 | 直接從 alertRules.2.enabled 欄位對應。 |
| alertRules.2.name | read_only_udm.security_result.detection_fields.name_2 | 直接從 alertRules.2.name 欄位對應。 |
| alertRules.2.notifyOnDismissed | read_only_udm.security_result.detection_fields.notifyOnDismissed_2 | 直接從 alertRules.2.notifyOnDismissed 欄位對應。 |
| alertRules.2.notifyOnOpen | read_only_udm.security_result.detection_fields.notifyOnOpen_2 | 直接從 alertRules.2.notifyOnOpen 欄位對應。 |
| alertRules.2.notifyOnResolved | read_only_udm.security_result.detection_fields.notifyOnResolved_2 | 直接從 alertRules.2.notifyOnResolved 欄位對應。 |
| alertRules.2.notifyOnSnoozed | read_only_udm.security_result.detection_fields.notifyOnSnoozed_2 | 直接從 alertRules.2.notifyOnSnoozed 欄位對應。 |
| alertRules.2.policyScanConfigId | read_only_udm.security_result.detection_fields.policyScanConfigId_2 | 直接從 alertRules.2.policyScanConfigId 欄位對應。 |
| alertRules.2.scanAll | read_only_udm.security_result.detection_fields.scanAll_2 | 直接從 alertRules.2.scanAll 欄位對應。 |
| alertRuleId | read_only_udm.security_result.rule_id | 直接從 alertRuleId 欄位對應。 |
| alertRuleName | read_only_udm.security_result.rule_name | 直接從 alertRuleName 欄位對應。 |
| alertStatus | read_only_udm.security_result.detection_fields.event message alertStatus | 直接從 event_data.msg_data 物件中的 alertStatus 欄位對應。 |
| alertTs | read_only_udm.metadata.event_timestamp.seconds | 轉換為 UNIX 時間戳記後，直接從 alertTs 欄位對應。 |
| alertTs | read_only_udm.metadata.event_timestamp.nanos | 轉換為 UNIX 時間戳記後，直接從 alertTs 欄位對應。 |
| callbackUrl | read_only_udm.metadata.url_back_to_product | 直接從 callbackUrl 欄位對應。 |
| cloudServiceName | read_only_udm.target.resource.attribute.labels.cloudServiceName | 直接從 cloudServiceName 欄位對應。 |
| cloudType | read_only_udm.target.resource.attribute.cloud.environment | 對應自「cloudType」欄位。如果 cloudType 為「gcp」，值會設為「GOOGLE_CLOUD_PLATFORM」。如果 cloudType 為「aws」，值會設為「AMAZON_WEB_SERVICES」。 |
| complianceMetadata.0.requirementId | read_only_udm.security_result.rule_id | 直接從 complianceMetadata.0.requirementId 欄位對應。 |
| complianceMetadata.0.requirementName | read_only_udm.security_result.summary | 直接從 complianceMetadata.0.requirementName 欄位對應。 |
| complianceMetadata.0.standardName | read_only_udm.security_result.rule_name | 直接從 complianceMetadata.0.standardName 欄位對應。 |
| complianceMetadata.1.requirementId | read_only_udm.security_result.rule_id | 直接從 complianceMetadata.1.requirementId 欄位對應。 |
| complianceMetadata.1.requirementName | read_only_udm.security_result.summary | 直接從 complianceMetadata.1.requirementName 欄位對應。 |
| complianceMetadata.1.standardName | read_only_udm.security_result.rule_name | 直接從 complianceMetadata.1.standardName 欄位對應。 |
| complianceMetadata.2.requirementId | read_only_udm.security_result.rule_id | 直接從 complianceMetadata.2.requirementId 欄位對應。 |
| complianceMetadata.2.requirementName | read_only_udm.security_result.summary | 直接從 complianceMetadata.2.requirementName 欄位對應。 |
| complianceMetadata.2.standardName | read_only_udm.security_result.rule_name | 直接從 complianceMetadata.2.standardName 欄位對應。 |
| complianceMetadata.3.requirementId | read_only_udm.security_result.rule_id | 直接從 complianceMetadata.3.requirementId 欄位對應。 |
| complianceMetadata.3.requirementName | read_only_udm.security_result.summary | 直接從 complianceMetadata.3.requirementName 欄位對應。 |
| complianceMetadata.3.standardName | read_only_udm.security_result.rule_name | 直接從 complianceMetadata.3.standardName 欄位對應。 |
| complianceMetadata.4.requirementId | read_only_udm.security_result.rule_id | 直接從 complianceMetadata.4.requirementId 欄位對應。 |
| complianceMetadata.4.requirementName | read_only_udm.security_result.summary | 直接從 complianceMetadata.4.requirementName 欄位對應。 |
| complianceMetadata.4.standardName | read_only_udm.security_result.rule_name | 直接從 complianceMetadata.4.standardName 欄位對應。 |
| event_data.app | read_only_udm.target.application | 直接從 event_data.app 欄位對應。 |
| event_data.msg_data.account.cloudType | read_only_udm.target.resource.attribute.cloud.environment | 對應自「event_data.msg_data.account.cloudType」欄位。如果值為「aws」，則會設為「AMAZON_WEB_SERVICES」。 |
| event_data.msg_data.account.id | read_only_udm.target.cloud.project.id | 直接從 event_data.msg_data.account.id 欄位對應。 |
| event_data.msg_data.account.name | read_only_udm.target.cloud.project.name | 直接從 event_data.msg_data.account.name 欄位對應。 |
| event_data.msg_data.accountIDs | read_only_udm.principal.resource.attribute.labels.event message accountId {index} | 直接從 event_data.msg_data.accountIDs 陣列對應。 |
| event_data.msg_data.aggregatedAlerts.0.category | read_only_udm.security_result.category_details | 直接從 event_data.msg_data.aggregatedAlerts.0.category 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.command | read_only_udm.principal.process.command_line | 直接從 event_data.msg_data.aggregatedAlerts.0.command 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.collections | read_only_udm.target.resource.attribute.labels.Collection {index} | 直接從 event_data.msg_data.aggregatedAlerts.0.collections 陣列對應。 |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.category | read_only_udm.security_result.category_details | 直接從 event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.category 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.description | read_only_udm.security_result.description | 直接從 event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.description 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.severity | read_only_udm.security_result.severity | 轉換為大寫後，直接從 event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.severity 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.title | read_only_udm.security_result.action_details | 直接從 event_data.msg_data.aggregatedAlerts.0.complianceIssues.0.title 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.container | read_only_udm.target.resource.name | 直接從 event_data.msg_data.aggregatedAlerts.0.container 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.containerID | read_only_udm.target.resource.product_object_id | 直接從 event_data.msg_data.aggregatedAlerts.0.containerID 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.fqdn | read_only_udm.principal.domain.name | 直接從 event_data.msg_data.aggregatedAlerts.0.fqdn 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.host | read_only_udm.principal.hostname | 直接從 event_data.msg_data.aggregatedAlerts.0.host 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.host | read_only_udm.principal.asset.hostname | 直接從 event_data.msg_data.aggregatedAlerts.0.host 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.image | read_only_udm.target.resource.attribute.labels.image | 直接從 event_data.msg_data.aggregatedAlerts.0.image 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.imageID | read_only_udm.target.resource.attribute.labels.imageID | 直接從 event_data.msg_data.aggregatedAlerts.0.imageID 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.labels.controller-uid | read_only_udm.target.user.product_object_id | 直接從 event_data.msg_data.aggregatedAlerts.0.labels.controller-uid 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.name | read_only_udm.target.hostname | 直接從 event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.name 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.uid | read_only_udm.target.resource.product_object_id | 直接從 event_data.msg_data.aggregatedAlerts.0.labels.io.kubernetes.pod.uid 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.msg_data | read_only_udm.security_result.description | 直接從 event_data.msg_data.aggregatedAlerts.0.msg_data 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.rule | read_only_udm.security_result.rule_name | 直接從 event_data.msg_data.aggregatedAlerts.0.rule 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.startupProcess | read_only_udm.principal.application | 直接從 event_data.msg_data.aggregatedAlerts.0.startupProcess 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.time | read_only_udm.metadata.event_timestamp.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.aggregatedAlerts.0.time 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.time | read_only_udm.metadata.event_timestamp.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.aggregatedAlerts.0.time 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.type | read_only_udm.security_result.category_details | 直接從 event_data.msg_data.aggregatedAlerts.0.type 欄位對應。 |
| event_data.msg_data.aggregatedAlerts.0.user | read_only_udm.principal.user.userid | 直接從 event_data.msg_data.aggregatedAlerts.0.user 欄位對應。 |
| event_data.msg_data.alertId | read_only_udm.security_result.detection_fields.event message alertId | 直接從 event_data.msg_data.alertId 欄位對應。 |
| event_data.msg_data.alertRuleId | read_only_udm.security_result.rule_id | 直接從 event_data.msg_data.alertRuleId 欄位對應。 |
| event_data.msg_data.alertRuleName | read_only_udm.security_result.rule_name | 直接從 event_data.msg_data.alertRuleName 欄位對應。 |
| event_data.msg_data.alertStatus | read_only_udm.security_result.detection_fields.event message alertStatus | 直接從 event_data.msg_data.alertStatus 欄位對應。 |
| event_data.msg_data.alertTs | read_only_udm.metadata.event_timestamp.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.alertTs 欄位對應。 |
| event_data.msg_data.alertTs | read_only_udm.metadata.event_timestamp.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.alertTs 欄位對應。 |
| event_data.msg_data.category | read_only_udm.security_result.category_details | 直接從 event_data.msg_data.category 欄位對應。 |
| event_data.msg_data.collections | read_only_udm.target.resource.attribute.labels.Collection {index} | 直接從 event_data.msg_data.collections 陣列對應。 |
| event_data.msg_data.command | read_only_udm.principal.process.command_line | 直接從 event_data.msg_data.command 欄位對應。 |
| event_data.msg_data.complianceIssues.0.category | read_only_udm.security_result.category_details | 直接從 event_data.msg_data.complianceIssues.0.category 欄位對應。 |
| event_data.msg_data.complianceIssues.0.description | read_only_udm.security_result.description | 直接從 event_data.msg_data.complianceIssues.0.description 欄位對應。 |
| event_data.msg_data.complianceIssues.0.severity | read_only_udm.security_result.severity | 轉換為大寫後，直接從 event_data.msg_data.complianceIssues.0.severity 欄位對應。 |
| event_data.msg_data.complianceIssues.0.title | read_only_udm.security_result.action_details | 直接從 event_data.msg_data.complianceIssues.0.title 欄位對應。 |
| event_data.msg_data.container | read_only_udm.target.resource.name | 直接從 event_data.msg_data.container 欄位對應。 |
| event_data.msg_data.containerID | read_only_udm.target.resource.product_object_id | 直接從 event_data.msg_data.containerID 欄位對應。 |
| event_data.msg_data.dropped | read_only_udm.security_result.detection_fields.dropped | 轉換為字串後，直接從 event_data.msg_data.dropped 欄位對應。 |
| event_data.msg_data.fqdn | read_only_udm.principal.domain.name | 直接從 event_data.msg_data.fqdn 欄位對應。 |
| event_data.msg_data.firstSeen | read_only_udm.security_result.first_discovered_time.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.firstSeen 欄位對應。 |
| event_data.msg_data.firstSeen | read_only_udm.security_result.first_discovered_time.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.firstSeen 欄位對應。 |
| event_data.msg_data.host | read_only_udm.principal.hostname | 直接從 event_data.msg_data.host 欄位對應。 |
| event_data.msg_data.host | read_only_udm.principal.asset.hostname | 直接從 event_data.msg_data.host 欄位對應。 |
| event_data.msg_data.image | read_only_udm.target.resource.attribute.labels.image | 直接從 event_data.msg_data.image 欄位對應。 |
| event_data.msg_data.imageID | read_only_udm.target.resource.attribute.labels.imageID | 直接從 event_data.msg_data.imageID 欄位對應。 |
| event_data.msg_data.labels.controller-uid | read_only_udm.target.user.product_object_id | 直接從 event_data.msg_data.labels.controller-uid 欄位對應。 |
| event_data.msg_data.labels.io.kubernetes.pod.name | read_only_udm.target.hostname | 直接從 event_data.msg_data.labels.io.kubernetes.pod.name 欄位對應。 |
| event_data.msg_data.labels.io.kubernetes.pod.uid | read_only_udm.target.resource.product_object_id | 直接從 event_data.msg_data.labels.io.kubernetes.pod.uid 欄位對應。 |
| event_data.msg_data.lastSeen | read_only_udm.security_result.last_discovered_time.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.lastSeen 欄位對應。 |
| event_data.msg_data.lastSeen | read_only_udm.security_result.last_discovered_time.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.lastSeen 欄位對應。 |
| event_data.msg_data.metadata.cveCritical | read_only_udm.security_result.detection_fields.event_data metadata cveCritical | 直接從 event_data.msg_data.metadata.cveCritical 欄位對應。 |
| event_data.msg_data.metadata.cveHigh | read_only_udm.security_result.detection_fields.event_data metadata cveHigh | 直接從 event_data.msg_data.metadata.cveHigh 欄位對應。 |
| event_data.msg_data.metadata.cveLow | read_only_udm.security_result.detection_fields.event_data metadata cveLow | 直接從 event_data.msg_data.metadata.cveLow 欄位對應。 |
| event_data.msg_data.metadata.cveMedium | read_only_udm.security_result.detection_fields.event_data metadata cveMedium | 直接從 event_data.msg_data.metadata.cveMedium 欄位對應。 |
| event_data.msg_data.metadata.source | read_only_udm.principal.hostname | 直接從 event_data.msg_data.metadata.source 欄位對應。 |
| event_data.msg_data.metadata.source | read_only_udm.principal.asset.hostname | 直接從 event_data.msg_data.metadata.source 欄位對應。 |
| event_data.msg_data.msg_data | read_only_udm.security_result.description | 直接從 event_data.msg_data.msg_data 欄位對應。 |
| event_data.msg_data.policy.description | read_only_udm.security_result.description | 直接從 event_data.msg_data.policy.description 欄位對應。 |
| event_data.msg_data.policy.id | read_only_udm.security_result.detection_fields.policy_id | 直接從 event_data.msg_data.policy.id 欄位對應。 |
| event_data.msg_data.policy.name | read_only_udm.security_result.summary | 直接從 event_data.msg_data.policy.name 欄位對應。 |
| event_data.msg_data.policy.policyTs | read_only_udm.additional.fields.policy_ts | 直接從 event_data.msg_data.policy.policyTs 欄位對應。 |
| event_data.msg_data.policy.policyType | read_only_udm.security_result.threat_name | 直接從 event_data.msg_data.policy.policyType 欄位對應。 |
| event_data.msg_data.policy.recommendation | read_only_udm.security_result.action_details | 直接從 event_data.msg_data.policy.recommendation 欄位對應。 |
| event_data.msg_data.policy.severity | read_only_udm.security_result.severity | 轉換為大寫後，直接從 event_data.msg_data.policy.severity 欄位對應。 |
| event_data.msg_data.reason | read_only_udm.security_result.detection_fields.event message reason | 直接從 event_data.msg_data.reason 欄位對應。 |
| event_data.msg_data.region | read_only_udm.target.cloud.availability_zone | 直接從 event_data.msg_data.region 欄位對應。 |
| event_data.msg_data.resource.resourceId | read_only_udm.target.resource.product_object_id | 直接從 event_data.msg_data.resource.resourceId 欄位對應。 |
| event_data.msg_data.resource.resourceName | read_only_udm.target.resource.name | 直接從 event_data.msg_data.resource.resourceName 欄位對應。 |
| event_data.msg_data.resource.resourceTs | read_only_udm.target.resource.attribute.creation_time.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.resource.resourceTs 欄位對應。 |
| event_data.msg_data.resource.resourceTs | read_only_udm.target.resource.attribute.creation_time.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.resource.resourceTs 欄位對應。 |
| event_data.msg_data.rule | read_only_udm.security_result.rule_name | 直接從 event_data.msg_data.rule 欄位對應。 |
| event_data.msg_data.service | read_only_udm.security_result.detection_fields.event message service | 直接從 event_data.msg_data.service 欄位對應。 |
| event_data.msg_data.startupProcess | read_only_udm.principal.application | 直接從 event_data.msg_data.startupProcess 欄位對應。 |
| event_data.msg_data.time | read_only_udm.metadata.event_timestamp.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.time 欄位對應。 |
| event_data.msg_data.time | read_only_udm.metadata.event_timestamp.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.msg_data.time 欄位對應。 |
| event_data.msg_data.type | read_only_udm.security_result.category_details | 直接從 event_data.msg_data.type 欄位對應。 |
| event_data.sentTs | read_only_udm.metadata.event_timestamp.seconds | 轉換為 UNIX 時間戳記後，直接從 event_data.sentTs 欄位對應。 |
| event_data.sentTs | read_only_udm.metadata.event_timestamp.nanos | 轉換為 UNIX 時間戳記後，直接從 event_data.sentTs 欄位對應。 |
| event_data.type | read_only_udm.security_result.category_details | 直接從 event_data.type 欄位對應。 |
| ipAddress | read_only_udm.principal.ip | 使用 grok 擷取 IP 位址後，直接從 ipAddress 欄位對應。 |
| ipAddress | read_only_udm.principal.asset.ip | 使用 grok 擷取 IP 位址後，直接從 ipAddress 欄位對應。 |
| ipAddress | read_only_udm.additional.fields.ipAddress | 如果 ipAddress 欄位不是有效的 IP 位址，則直接從該欄位對應。 |
| json_action.0.policy_id | read_only_udm.target.resource.attribute.labels.Policy Id 0 | 直接從 json_action.0.policy_id 欄位對應。 |
| json_action.0.resource_name | read_only_udm.target.resource.attribute.labels.Resource Name 0 | 直接從 json_action.0.resource_name 欄位對應。 |
| json_action.1.policy_id | read_only_udm.target.resource.attribute.labels.Policy Id 1 | 直接從 json_action.1.policy_id 欄位對應。 |
| json_action.1.resource_name | read_only_udm.target.resource.attribute.labels.Resource Name 1 | 直接從 json_action.1.resource_name 欄位對應。 |
| policy.policyId | read_only_udm.security_result.rule_id | 直接從 policy.policyId 欄位對應。 |
| policy.policyType | read_only_udm.security_result.rule_type | 直接從 policy.policyType 欄位對應。 |
| policy.recommendation | read_only_udm.metadata.description | 直接從 policy.recommendation 欄位對應。 |
| policy.severity | read_only_udm.security_result.severity | 對應自「policy.severity」欄位。如果值為「info」，則會設為「INFORMATIONAL」。 |
| policyName | read_only_udm.metadata.description | 直接從 policyName 欄位對應。 |
| reason | read_only_udm.metadata.product_event_type | 直接從 reason 欄位對應。 |
| resource.accountId | read_only_udm.target.resource.product_object_id | 直接從 resource.accountId 欄位對應。 |
| resource.cloudServiceName | read_only_udm.target.resource.attribute.labels.cloudServiceName | 直接從 resource.cloudServiceName 欄位對應。 |
| resource.data.architecture | read_only_udm.principal.asset.hardware.cpu_platform | 直接從 resource.data.architecture 欄位對應。 |
| resource.data.cpuPlatform | read_only_udm.additional.fields.CPU Platform | 直接從 resource.data.cpuPlatform 欄位對應。 |
| resource.data.labelFingerprint | read_only_udm.security_result.detection_fields.labelFingerprint | 直接從 resource.data.labelFingerprint 欄位對應。 |
| resource.data.metadata.items.key | read_only_udm.additional.fields.key | 直接從 resource.data.metadata.items.key 欄位對應。 |
| resource.data.metadata.items.value | read_only_udm.additional.fields.value.string_value | 直接從 resource.data.metadata.items.value 欄位對應。 |
| resource.data.networkInterfaces.0.accessConfigs.0.natIP | read_only_udm.target.nat_ip | 直接從 resource.data.networkInterfaces.0.accessConfigs.0.natIP 欄位對應。 |
| resource.data.networkInterfaces.0.networkIP | read_only_udm.target.ip | 直接從 resource.data.networkInterfaces.0.networkIP 欄位對應。 |
| resource.data.networkInterfaces.0.networkIP | read_only_udm.target.asset.ip | 直接從 resource.data.networkInterfaces.0.networkIP 欄位對應。 |
| resource.data.physicalBlockSizeBytes | read_only_udm.principal.resource.attribute.labels.physicalBlockSizeBytes | 轉換為字串後，直接從 resource.data.physicalBlockSizeBytes 欄位對應。 |
| resource.data.selfLink | read_only_udm.about.url | 直接從 resource.data.selfLink 欄位對應。 |
| resource.data.serviceAccounts.0.email | read_only_udm.principal.user.email_addresses | 直接從 resource.data.serviceAccounts.0.email 欄位對應。 |
| resource.data.serviceAccounts.0.email | read_only_udm.principal.user.attribute.roles.type | 如果 resource.data.serviceAccounts.0.email 包含「serviceaccount」，值會設為「SERVICE_ACCOUNT」。 |
| resource.data.sizeGb | read_only_udm.principal.resource.attribute.labels.sizeGb | 直接從 resource.data.sizeGb 欄位對應。 |
| resource.data.sourceImage | read_only_udm.principal.resource.attribute.labels.sourceImage | 直接從 resource.data.sourceImage 欄位對應。 |
| resource.name | read_only_udm.target.resource.name | 直接從 resource.name 欄位對應。 |
| resource.regionId | read_only_udm.target.location.country_or_region | 直接從 `resource |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。