Logs der Ribbon Analytics Platform erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Logs der Ribbon Analytics Platform mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Die Ribbon Analytics Platform ist eine Plattform für Netzwerkanalysen und Session Border Controller für die Überwachung von Sprach- und Datenkommunikation. Es werden Syslog-Nachrichten für Anrufdetaildatensätze, Sitzungsereignisse und Informationen zum Systemstatus generiert.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agenten und der Ribbon Analytics-Plattform
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Berechtigter Zugriff auf die Verwaltungsoberfläche der Ribbon Analytics Platform

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis :Der JSON-Schlüssel ist eine Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/ribbon_analytics:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: RIBBON_ANALYTICS_PLATFORM
      raw_log_field: body
  
  service:
    pipelines:
      logs/ribbon_analytics_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/ribbon_analytics
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/ribbon_analytics:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: RIBBON_ANALYTICS_PLATFORM
      raw_log_field: body
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung für die Ribbon Analytics Platform konfigurieren

1. Melden Sie sich in der Ribbon-Verwaltungsoberfläche an.
2. Gehen Sie zu Einstellungen > Remote-Log-Server.
3. Fügen Sie einen neuen Remote-Log-Server mit der folgenden Konfiguration hinzu:
   • Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 ein.
   • Protokoll: Wählen Sie UDP aus.
4. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
type_name	about	Zugeordnet: SYSCALL → about
type_syscall_props.AUID	about.user.user_display_name	Direkt zugeordnet
type_syscall_props.auid	about.user.userid	Direkt zugeordnet
additional_delay_data	additional.fields	Zusammengeführt
additional_delays_data	additional.fields	Zusammengeführt
additional_dns_data	additional.fields	Zusammengeführt
additional_field	additional.fields	Zusammengeführt
additional_relay_data	additional.fields	Zusammengeführt
auth_realm_field	additional.fields	Zusammengeführt
log_details_label	additional.fields	Zusammengeführt
_mechanism	extensions.auth.mechanism	Zusammengeführt
audit_message	extensions.auth.type	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
msg2	extensions.auth.type	Zugeordnet: login failure → MACHINE
type_name	extensions.auth.type	Zugeordnet: USER_LOGIN → MACHINE, `"LOGIN", "USER_START", "USER_AUTH", "CRED_ACQ", "CRED_REF...
dvc	intermediary.hostname	Direkt zugeordnet
dvc	intermediary.ip	Zusammengeführt
description	metadata.description	Direkt zugeordnet
error_message	metadata.description	Direkt zugeordnet
msg2	metadata.description	Direkt zugeordnet
event_timestamp	metadata.event_timestamp	Als UNIX geparst
timestamp	metadata.event_timestamp	Als MMM d HH:mm:ss geparst
event_type	metadata.event_type	Zugeordnet: GENERIC_EVENT → STATUS_UPDATE
has_principal	metadata.event_type	Zugeordnet: true → STATUS_UPDATE
msg2	metadata.event_type	Zugeordnet: HTTP → NETWORK_HTTP, login failure → USER_LOGIN
target_user_present	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
type_name	metadata.event_type	Zugeordnet: SYSCALL → USER_UNCATEGORIZED
applica	metadata.product_event_type	Direkt zugeordnet
audit_message	metadata.product_event_type	Zugeordnete Werte (insgesamt 6, z.B. pam_krb5.*authentication fails for → PAM_KRB5_AUTH_ERROR, `...
eventType	metadata.product_event_type	Direkt zugeordnet
p_event_type	metadata.product_event_type	Direkt zugeordnet
type	metadata.product_event_type	Direkt zugeordnet
type_name	metadata.product_event_type	Direkt zugeordnet
jsonPayload._AUDIT_ID	metadata.product_log_id	Direkt zugeordnet
product_log_id	metadata.product_log_id	Direkt zugeordnet
audit_message	network.application_protocol	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → SSH
auth	network.application_protocol	Zugeordnet: ssh → SSH
message	network.application_protocol	Zugeordnet: ssh/ssh2 → SSH
tty	network.application_protocol	Zugeordnet: ssh → SSH
audit_message	network.direction	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → OUTBOUND, `type=(CRYPTO_SESSION/CRYPTO_K...
mailid	network.email.mail_id	Direkt zugeordnet
to_email	network.email.to	Zugeordnet: ^.+@.+$ → to_email
response_code	network.http.response_code	Direkt zugeordnet
audit_message	network.ip_protocol	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → TCP
bytes_sent	network.sent_bytes	Direkt zugeordnet
type_crypto_props.ksize	network.sent_bytes	Umbenannt/zugeordnet
jsonPayload._AUDIT_SESSION	network.session_id	Direkt zugeordnet
sessionid	network.session_id	Direkt zugeordnet
type_anom_props.ses	network.session_id	Umbenannt/zugeordnet
type_syscall_props.ses	network.session_id	Direkt zugeordnet
type_crypto_props.cipher	network.tls.cipher	Direkt zugeordnet
type_crypto_props.pfs	network.tls.curve	Direkt zugeordnet
applica	principal.application	Direkt zugeordnet
jsonPayload._COMM	principal.application	Direkt zugeordnet
type_anom_props.comm	principal.application	Direkt zugeordnet
type_syscall_props.comm	principal.application	Direkt zugeordnet
type_syscall_props.terminal	principal.application	Direkt zugeordnet
%{rhost}	principal.asset.hostname	Zusammengeführt
rhost	principal.asset.hostname	Zugeordnet, wenn kvdata != ``
princi_ip	principal.asset.ip	Zusammengeführt
rhost	principal.asset.ip	Zusammengeführt
srcIp	principal.asset.ip	Zugeordnet: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
%{rhost}	principal.hostname	Zusammengeführt
jsonPayload._HOSTNAME	principal.hostname	Direkt zugeordnet
principal_hostname	principal.hostname	Direkt zugeordnet
rhost	principal.hostname	Wird zugeordnet, wenn kvdata != ``
audit_message	principal.ip	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
prin_ip	principal.ip	Zusammengeführt
princi_ip	principal.ip	Zusammengeführt
rhost	principal.ip	Zusammengeführt
srcIp	principal.ip	Zugeordnet: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
type_crypto_props.laddr	principal.ip	Zusammengeführt
srcPort	principal.port	Umbenannt/zugeordnet
type_crypto_props.lport	principal.port	Umbenannt/zugeordnet
auth	principal.process.command_line	Direkt zugeordnet
proctitle_value	principal.process.command_line	Direkt zugeordnet
type_syscall_props.cmd	principal.process.command_line	Direkt zugeordnet
event.idm.read_only_udm.target.process.file.full_path	principal.process.file.full_path	Direkt zugeordnet
proctitle_value	principal.process.file.full_path	Direkt zugeordnet
audit_message	principal.process.file.names	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
filename	principal.process.file.names	Zusammengeführt
jsonPayload._PPID	principal.process.parent_process.pid	Direkt zugeordnet
type_syscall_props.ppid	principal.process.parent_process.pid	Direkt zugeordnet
jsonPayload._PID	principal.process.pid	Direkt zugeordnet
pi	principal.process.pid	Direkt zugeordnet
process_pid	principal.process.pid	Direkt zugeordnet
type_crypto_props.spid	principal.process.pid	Direkt zugeordnet
type_syscall_props.pid	principal.process.pid	Direkt zugeordnet
email	principal.user.email_addresses	Zugeordnet: ^.+@.+$ → email
user_name	principal.user.email_addresses	Zugeordnet: ^.+@.+$ → user_name
type_syscall_props.UID	principal.user.user_display_name	Direkt zugeordnet
type_syscall_props.acct	principal.user.user_display_name	Direkt zugeordnet
jsonPayload._AUDIT_FIELD_SUID	principal.user.userid	Direkt zugeordnet
principal_user_userid	principal.user.userid	Direkt zugeordnet
ruser	principal.user.userid	Direkt zugeordnet
type_crypto_props.suid	principal.user.userid	Direkt zugeordnet
user_name	principal.user.userid	Direkt zugeordnet
usr	principal.user.userid	Direkt zugeordnet
a0_label	security_result.about.labels	Zusammengeführt
a1_label	security_result.about.labels	Zusammengeführt
a2_label	security_result.about.labels	Zusammengeführt
a3_label	security_result.about.labels	Zusammengeführt
audit_message	security_result.about.labels	Zugeordnete Werte (insgesamt 7, z.B. `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CH...
exit_label	security_result.about.labels	Zusammengeführt
syscall_label	security_result.about.labels	Zusammengeführt
tty_label	security_result.about.labels	Zusammengeführt
jsonPayload._AUDIT_FIELD_ARCH	security_result.about.platform_version	Direkt zugeordnet
type_syscall_props.arch	security_result.about.platform_version	Direkt zugeordnet
type_syscall_props.key	security_result.about.registry.registry_key	Direkt zugeordnet
product_log_id	security_result.about.registry.registry_value_data	Direkt zugeordnet
action	security_result.action	Zusammengeführt
action_data	security_result.action	Zugeordnet: `"authentication failure", "Authentication failure", "Failed password", "Connection ...
audit_message	security_result.action	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
security_action	security_result.action	Zusammengeführt
action_data	security_result.action_details	Direkt zugeordnet
auth	security_result.action_details	Zugeordnet: sshd → FAILURE
status	security_result.action_details	Direkt zugeordnet
type_crypto_props.res	security_result.action_details	Umbenannt/zugeordnet
type_syscall_props.res	security_result.action_details	Direkt zugeordnet
a0_label	security_result.detection_fields	Zusammengeführt
a1_label	security_result.detection_fields	Zusammengeführt
a2_label	security_result.detection_fields	Zusammengeführt
a3_label	security_result.detection_fields	Zusammengeführt
audit_message	security_result.detection_fields	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
auid_field	security_result.detection_fields	Zusammengeführt
auth	security_result.detection_fields	Zugeordnet: sshd → authentication_protocol_field, sshd → authentication_mechanism_field,...
authentication_mechanism_field	security_result.detection_fields	Zusammengeführt
authentication_protocol_field	security_result.detection_fields	Zusammengeführt
bootid_label	security_result.detection_fields	Zusammengeführt
connection_state_field	security_result.detection_fields	Zusammengeführt
cwd_field	security_result.detection_fields	Zusammengeführt
exit_label	security_result.detection_fields	Zusammengeführt
jsonPayload._AUDIT_TYPE_NAME	security_result.rule_id	Direkt zugeordnet
type_name	security_result.rule_id	Direkt zugeordnet
msg_desc	security_result.summary	Direkt zugeordnet
secsummary	security_result.summary	Direkt zugeordnet
type_anom_props.reason	security_result.summary	Direkt zugeordnet
type_syscall_props.op	security_result.summary	Direkt zugeordnet
type_syscall_props.res	security_result.summary	Direkt zugeordnet
type_syscall_props.success	security_result.summary	Direkt zugeordnet
type_path1_props.name	src.file.full_path	Umbenannt/zugeordnet
type_crypto_props.terminal	target.application	Umbenannt/zugeordnet
target_hostname	target.asset.hostname	Direkt zugeordnet
type_crypto_props.hostname	target.asset.hostname	Direkt zugeordnet
dst_ip	target.asset.ip	Zusammengeführt
resource.labels.project_id	target.cloud.project.name	Direkt zugeordnet
filepath	target.file.full_path	Direkt zugeordnet
jsonPayload._AUDIT_FIELD_FILE	target.file.full_path	Direkt zugeordnet
target_file_full_path	target.file.full_path	Direkt zugeordnet
jsonPayload._AUDIT_FIELD_HASH	target.file.sha256	Direkt zugeordnet
target_hostname	target.hostname	Direkt zugeordnet
type_crypto_props.hostname	target.hostname	Direkt zugeordnet
audit_message	target.ip	Zugeordnet: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → tar_ip
dst_ip	target.ip	Zusammengeführt
tar_ip	target.ip	Zusammengeführt
resource.labels.location	target.location.name	Direkt zugeordnet
dst_port	target.port	Direkt zugeordnet
target_port	target.port	Direkt zugeordnet
type_crypto_props.rport	target.port	Umbenannt/zugeordnet
args	target.process.command_line	Umbenannt/zugeordnet
cmnd	target.process.command_line	Direkt zugeordnet
command_line	target.process.command_line	Direkt zugeordnet
cwd	target.process.file.full_path	Direkt zugeordnet
jsonPayload._EXE	target.process.file.full_path	Direkt zugeordnet
proctitle_value	target.process.file.full_path	Direkt zugeordnet
type_anom_props.exe	target.process.file.full_path	Umbenannt/zugeordnet
type_crypto_props.exe	target.process.file.full_path	Umbenannt/zugeordnet
type_syscall_props.exe	target.process.file.full_path	Direkt zugeordnet
type_anom_props.pid	target.process.pid	Umbenannt/zugeordnet
type_crypto_props.pid	target.process.pid	Umbenannt/zugeordnet
resource.labels.cluster_name	target.resource.name	Direkt zugeordnet
audit_message	target.resource.type	Zugeordnet: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
type_name	target.resource.type	Zugeordnet: "USER_ACCT", "USER_ROLE_CHANGE","USER_MGMT" → SETTING
target_email	target.user.email_addresses	Zugeordnet: ^.+@.+$ → target_email
type_syscall_props.ID	target.user.user_display_name	Direkt zugeordnet
type_syscall_props.acct	target.user.user_display_name	Direkt zugeordnet
event.idm.read_only_udm.principal.user.userid	target.user.userid	Umbenannt/zugeordnet
jsonPayload._UID	target.user.userid	Direkt zugeordnet
type_crypto_props.uid	target.user.userid	Direkt zugeordnet
type_syscall_props.acct	target.user.userid	Direkt zugeordnet
type_syscall_props.id	target.user.userid	Direkt zugeordnet
type_syscall_props.uid	target.user.userid	Direkt zugeordnet
user_name	target.user.userid	Direkt zugeordnet
username	target.user.userid	Direkt zugeordnet
–	extensions.auth.type	Konstante: AUTHTYPE_UNSPECIFIED
–	metadata.event_type	Konstante: STATUS_UPDATE
–	metadata.product_event_type	Konstante: PAM_KRB5_AUTH_ERROR
–	metadata.product_name	Konstante: AuditD
–	metadata.vendor_name	Konstante: Linux
–	network.application_protocol	Konstante: SSH
–	network.direction	Konstante: OUTBOUND
–	network.ip_protocol	Konstante: TCP
–	principal.platform	Konstante: LINUX
–	principal.user.userid	Konstante: event.idm.read_only_udm.target.user.userid
–	security_result.action_details	Konstante: FAILURE
–	target.resource.type	Konstante: SETTING

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten