Mengumpulkan log Salesforce Commerce Cloud

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Salesforce Commerce Cloud ke Google Security Operations menggunakan Google Cloud Storage V2.

Salesforce Commerce Cloud adalah platform e-commerce yang menghasilkan log audit transaksi, akses, dan keamanan. Fungsi Cloud Run terhubung ke endpoint WebDAV Salesforce Commerce Cloud sesuai jadwal, mendownload file log, menuliskannya ke bucket GCS dalam format NDJSON, dan Google SecOps menyerapnya melalui feed GCS V2.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Project GCP dengan Cloud Storage API diaktifkan
• Izin untuk membuat dan mengelola bucket GCS
• Izin untuk mengelola kebijakan IAM di bucket GCS
• Izin untuk membuat layanan Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
• Akses istimewa ke Pengelola Bisnis Salesforce Commerce Cloud dengan izin akses WebDAV

Buat bucket Google Cloud Storage

1. Buka Konsol Google Cloud.
2. Pilih project Anda atau buat project baru.
3. Di menu navigasi, buka Cloud Storage > Buckets.
4. Klik Create bucket.

5. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Memberi nama bucket Anda	Masukkan nama yang unik secara global (misalnya, sfcc-logs)
   Location type	Pilih berdasarkan kebutuhan Anda (Region, Dual-region, Multi-region)
   Location	Pilih lokasi (misalnya, us-central1)
   Kelas penyimpanan	Standar (direkomendasikan untuk log yang sering diakses)
   Kontrol akses	Seragam (direkomendasikan)
   Alat perlindungan	Opsional: Aktifkan pembuatan versi objek atau kebijakan retensi

6. Klik Create.

Mengumpulkan kredensial Salesforce Commerce Cloud

Mengonfigurasi akses WebDAV

1. Login ke Pengelola Bisnis untuk instance Salesforce Commerce Cloud Anda.
2. Buka Administration > Organization > Roles & Permissions.
3. Pastikan izin Akses File WebDAV diaktifkan untuk akun pengguna Anda.
4. Catat nama host instance SFCC Anda (misalnya, development-yoursite-dw.demandware.net).

5. Simpan kredensial berikut di lokasi yang aman:

   • Host SFCC: Nama host instance Anda (misalnya, development-yoursite-dw.demandware.net).
   • Nama pengguna: Nama pengguna Pengelola Bisnis Anda.
   • Sandi: Sandi Pengelola Bisnis Anda.
   Catatan: Akses WebDAV harus diaktifkan untuk akun pengguna Anda di Administrasi > Organisasi > Peran & Izin.

Memverifikasi izin

Untuk memverifikasi bahwa akun memiliki izin yang diperlukan:

1. Login ke Business Manager untuk instance Salesforce Commerce Cloud Anda.
2. Buka Administrasi > Pengembangan Situs > Penyiapan Pengembangan.
3. Klik File Log di bagian WebDAV.
4. Jika Anda dapat melihat direktori file log, berarti Anda memiliki izin yang diperlukan.
5. Jika Anda tidak dapat melihat opsi ini, hubungi administrator SFCC Anda untuk memberikan akses WebDAV.

Menguji akses API

• Uji kredensial Anda sebelum melanjutkan integrasi:

  # Replace with your actual credentials
  SFCC_HOST="development-yoursite-dw.demandware.net"
  USERNAME="your-username"
  PASSWORD="your-password"
  
  # Test WebDAV access to log directory
  curl -v -u "${USERNAME}:${PASSWORD}" \
    "https://${SFCC_HOST}/on/demandware.servlet/webdav/Sites/Logs/"
  

Membuat akun layanan untuk fungsi Cloud Run

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis ke bucket GCS dan dipanggil oleh Pub/Sub.

Membuat akun layanan

1. Di Konsol GCP, buka IAM & Admin > Service Accounts.
2. Klik Create Service Account.
3. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan sfcc-logs-collector-sa.
   • Service account description: Masukkan Service account for Cloud Run function to collect Salesforce Commerce Cloud logs.
4. Klik Create and Continue.
5. Di bagian Grant this service account access to project, tambahkan peran berikut:
   1. Klik Pilih peran.
   2. Telusuri dan pilih Storage Object Admin.
   3. Klik + Add another role.
   4. Telusuri dan pilih Cloud Run Invoker.
   5. Klik + Add another role.
   6. Telusuri dan pilih Cloud Functions Invoker.
6. Klik Lanjutkan.
7. Klik Done.

Peran ini diperlukan untuk:

• Storage Object Admin: Menulis log ke bucket GCS dan mengelola file status
• Cloud Run Invoker: Izinkan Pub/Sub memanggil fungsi
• Cloud Functions Invoker: Mengizinkan pemanggilan fungsi

Memberikan izin IAM di bucket GCS

Beri akun layanan izin tulis di bucket GCS:

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda (misalnya, sfcc-logs).
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Tambahkan prinsipal: Masukkan email akun layanan (misalnya, [e-mail]).
   • Assign roles: Pilih Storage Object Admin.
6. Klik Simpan.

Membuat topik Pub/Sub

Buat topik Pub/Sub yang akan dipublikasikan oleh Cloud Scheduler dan akan dilanggan oleh fungsi Cloud Run.

1. Di Konsol GCP, buka Pub/Sub > Topics.
2. Klik Create topic.
3. Berikan detail konfigurasi berikut:
   • ID Topik: Masukkan sfcc-logs-trigger.
   • Biarkan setelan lainnya sesuai default.
4. Klik Create.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run akan dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil log dari WebDAV Salesforce Commerce Cloud dan menulisnya ke GCS.

1. Di Konsol GCP, buka Cloud Run.
2. Klik Create service.
3. Pilih Function (gunakan editor inline untuk membuat fungsi).

4. Di bagian Configure, berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama layanan	sfcc-logs-collector
   Region	Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
   Runtime	Pilih Python 3.12 atau yang lebih baru

5. Di bagian Pemicu (opsional):

   1. Klik + Tambahkan pemicu.
   2. Pilih Cloud Pub/Sub.
   3. Di Select a Cloud Pub/Sub topic, pilih topik sfcc-logs-trigger.
   4. Klik Simpan.

6. Di bagian Authentication:

   1. Pilih Wajibkan autentikasi.
   2. Periksa Identity and Access Management (IAM).
   Catatan: Pub/Sub akan otomatis menangani autentikasi saat memanggil fungsi.

7. Scroll ke bawah dan luaskan Containers, Networking, Security.

8. Buka tab Security:

   • Service account: Pilih akun layanan sfcc-logs-collector-sa.

9. Buka tab Containers:

   1. Klik Variables & Secrets.
   2. Klik + Tambahkan variabel untuk setiap variabel lingkungan:

   Nama Variabel	Nilai Contoh	Deskripsi
   GCS_BUCKET	sfcc-logs	Nama bucket GCS
   GCS_PREFIX	sfcc	Awalan untuk file log
   STATE_KEY	sfcc/state.json	Jalur file status
   SFCC_HOST	development-yoursite-dw.demandware.net	Nama host instance SFCC
   SFCC_USERNAME	your-username	Nama pengguna Pengelola Bisnis
   SFCC_PASSWORD	your-password	Sandi Pengelola Bisnis
   LOG_DIRS	security,error,warn,customerror	Direktori log yang dipisahkan koma
   LOOKBACK_HOURS	24	Periode lihat balik awal

10. Scroll ke bawah di tab Variables & Secrets ke Requests:

    • Waktu tunggu permintaan: Masukkan 600 detik (10 menit).

11. Buka tab Setelan di Penampung:

    • Di bagian Referensi:
      • Memori: Pilih 512 MiB atau lebih tinggi.
      • CPU: Pilih 1.
    • Klik Done.

12. Scroll ke bawah ke Execution environment:

    • Pilih Default (direkomendasikan).

13. Di bagian Revision scaling:

    • Minimum number of instances: Masukkan 0.
    • Maximum number of instances: Masukkan 100 (atau sesuaikan berdasarkan perkiraan beban).

14. Klik Create.

15. Tunggu hingga layanan dibuat (1-2 menit).

16. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

1. Masukkan main di Function entry point.

2. Di editor kode inline, buat dua file:

   • File pertama - main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     import time
     import base64
     import re
     
     # Initialize HTTP client with timeouts
     http = urllib3.PoolManager(
       timeout=urllib3.Timeout(connect=10.0, read=60.0),
       retries=False,
     )
     
     # Initialize Storage client
     storage_client = storage.Client()
     
     # Environment variables
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'sfcc')
     STATE_KEY = os.environ.get('STATE_KEY', 'sfcc/state.json')
     SFCC_HOST = os.environ.get('SFCC_HOST')
     SFCC_USERNAME = os.environ.get('SFCC_USERNAME')
     SFCC_PASSWORD = os.environ.get('SFCC_PASSWORD')
     LOG_DIRS = [d.strip() for d in os.environ.get('LOG_DIRS', 'security,error,warn,customerror').split(',') if d.strip()]
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     
     def parse_datetime(value: str) -> datetime:
       """Parse ISO datetime string to datetime object."""
       if value.endswith("Z"):
         value = value[:-1] + "+00:00"
       return datetime.fromisoformat(value)
     
     @functions_framework.cloud_event
     def main(cloud_event):
       """
       Cloud Run function triggered by Pub/Sub to fetch Salesforce Commerce Cloud
       logs via WebDAV and write to GCS.
     
       Args:
         cloud_event: CloudEvent object containing Pub/Sub message
       """
     
       if not all([GCS_BUCKET, SFCC_HOST, SFCC_USERNAME, SFCC_PASSWORD]):
         print('Error: Missing required environment variables')
         return
     
       try:
         bucket = storage_client.bucket(GCS_BUCKET)
     
         # Load state
         state = load_state(bucket, STATE_KEY)
     
         now = datetime.now(timezone.utc)
         last_time = None
     
         if isinstance(state, dict) and state.get("last_event_time"):
           try:
             last_time = parse_datetime(state["last_event_time"])
           except Exception as e:
             print(f"Warning: Could not parse last_event_time: {e}")
     
         if last_time is None:
           last_time = now - timedelta(hours=LOOKBACK_HOURS)
     
         print(f"Fetching logs since {last_time.isoformat()}")
     
         # Build auth header
         credentials = f"{SFCC_USERNAME}:{SFCC_PASSWORD}"
         encoded_credentials = base64.b64encode(credentials.encode('utf-8')).decode('utf-8')
         headers = {
           'Authorization': f'Basic {encoded_credentials}',
           'User-Agent': 'GoogleSecOps-SFCCCollector/1.0'
         }
     
         total_files = 0
         webdav_base = f"https://{SFCC_HOST}/on/demandware.servlet/webdav/Sites/Logs"
     
         for log_dir in LOG_DIRS:
           print(f"Processing log directory: {log_dir}")
           files_processed = fetch_and_upload_logs(
             bucket=bucket,
             webdav_base=webdav_base,
             log_dir=log_dir,
             headers=headers,
             since=last_time,
             now=now,
           )
           total_files += files_processed
     
         if total_files == 0:
           print("No new log files found.")
         else:
           print(f"Successfully processed {total_files} log files")
     
         save_state(bucket, STATE_KEY, now.isoformat())
     
       except Exception as e:
         print(f'Error processing logs: {str(e)}')
         raise
     
     def load_state(bucket, key):
       """Load state from GCS."""
       try:
         blob = bucket.blob(key)
         if blob.exists():
           state_data = blob.download_as_text()
           return json.loads(state_data)
       except Exception as e:
         print(f"Warning: Could not load state: {e}")
     
       return {}
     
     def save_state(bucket, key, last_event_time_iso: str):
       """Save the last event timestamp to GCS state file."""
       try:
         state = {'last_event_time': last_event_time_iso}
         blob = bucket.blob(key)
         blob.upload_from_string(
           json.dumps(state, indent=2),
           content_type='application/json'
         )
         print(f"Saved state: last_event_time={last_event_time_iso}")
       except Exception as e:
         print(f"Warning: Could not save state: {e}")
     
     def list_webdav_files(webdav_url: str, headers: dict):
       """List files in a WebDAV directory using PROPFIND."""
       backoff = 1.0
       max_retries = 3
     
       for attempt in range(max_retries):
         response = http.request('PROPFIND', webdav_url, headers={**headers, 'Depth': '1'})
     
         if response.status == 429:
           retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
           print(f"Rate limited (429). Retrying after {retry_after}s...")
           time.sleep(retry_after)
           backoff = min(backoff * 2, 30.0)
           continue
     
         if response.status not in (200, 207):
           print(f"HTTP Error listing {webdav_url}: {response.status}")
           return []
     
         content = response.data.decode('utf-8')
         # Parse file names from WebDAV PROPFIND XML response
         files = re.findall(r'<D:href>([^<]+)</D:href>', content)
         return [f for f in files if not f.endswith('/')]
     
       return []
     
     def fetch_and_upload_logs(bucket, webdav_base: str, log_dir: str, headers: dict, since: datetime, now: datetime):
       """
       Fetch log files from a WebDAV directory and upload to GCS.
     
       Args:
         bucket: GCS bucket object
         webdav_base: WebDAV base URL
         log_dir: Log directory name
         headers: HTTP headers with auth
         since: Only process files newer than this
         now: Current time for file naming
     
       Returns:
         Number of files processed
       """
       dir_url = f"{webdav_base}/{log_dir}/"
       files = list_webdav_files(dir_url, headers)
       files_processed = 0
       backoff = 1.0
     
       for file_path in files:
         file_name = file_path.split('/')[-1]
         if not file_name:
           continue
     
         # Download file
         file_url = f"https://{SFCC_HOST}{file_path}"
     
         response = http.request('GET', file_url, headers=headers)
     
         if response.status == 429:
           retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
           print(f"Rate limited (429). Retrying after {retry_after}s...")
           time.sleep(retry_after)
           backoff = min(backoff * 2, 30.0)
           response = http.request('GET', file_url, headers=headers)
     
         if response.status != 200:
           print(f"Error downloading {file_name}: {response.status}")
           continue
     
         backoff = 1.0
         content = response.data
     
         if not content:
           continue
     
         # Upload to GCS
         timestamp = now.strftime('%Y%m%d_%H%M%S')
         object_key = f"{GCS_PREFIX}/{log_dir}/{file_name}_{timestamp}"
         blob = bucket.blob(object_key)
     
         # Convert log lines to NDJSON
         lines = content.decode('utf-8', errors='replace').splitlines()
         records = []
         for line in lines:
           line = line.strip()
           if line:
             try:
               record = json.loads(line)
             except json.JSONDecodeError:
               record = {'raw_log': line, 'log_dir': log_dir, 'source_file': file_name}
             records.append(record)
     
         if records:
           ndjson = '\n'.join([json.dumps(r, ensure_ascii=False) for r in records]) + '\n'
           blob.upload_from_string(ndjson, content_type='application/x-ndjson')
           print(f"Uploaded {len(records)} records from {file_name} to gs://{GCS_BUCKET}/{object_key}")
           files_processed += 1
     
       return files_processed
     

   • File kedua - requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

4. Tunggu hingga deployment selesai (2-3 menit).

   Catatan: Konfigurasi pemicu Pub/Sub akan otomatis membuat langganan dan izin yang diperlukan.

Buat tugas Cloud Scheduler

Cloud Scheduler akan memublikasikan pesan ke topik Pub/Sub secara berkala, sehingga memicu fungsi Cloud Run.

1. Di Konsol GCP, buka Cloud Scheduler.
2. Klik Create Job.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama	sfcc-logs-collector-hourly
   Region	Pilih region yang sama dengan fungsi Cloud Run
   Frekuensi	0 * * * * (setiap jam, tepat pada waktunya)
   Zona Waktu	Pilih zona waktu (UTC direkomendasikan)
   Jenis target	Pub/Sub
   Topik	Pilih topik sfcc-logs-trigger
   Isi pesan	{} (objek JSON kosong)

4. Klik Create.

Opsi frekuensi jadwal

Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

Frekuensi	Ekspresi Cron	Kasus Penggunaan
Setiap 5 menit	*/5 * * * *	Volume tinggi, latensi rendah
Setiap 15 menit	*/15 * * * *	Volume sedang
Setiap jam	0 * * * *	Standar (direkomendasikan)
Setiap 6 jam	0 */6 * * *	Volume rendah, pemrosesan batch
Harian	0 0 * * *	Pengumpulan data historis

Menguji integrasi

1. Di konsol Cloud Scheduler, temukan tugas Anda (sfcc-logs-collector-hourly).
2. Klik Jalankan paksa untuk memicu secara manual.
3. Tunggu beberapa detik, lalu buka Cloud Run > Services > sfcc-logs-collector > Logs.

4. Pastikan fungsi berhasil dieksekusi. Cari:

   Fetching logs since YYYY-MM-DDTHH:MM:SS+00:00
   Processing log directory: security
   Uploaded X records from filename.log to gs://sfcc-logs/sfcc/security/filename.log_YYYYMMDD_HHMMSS
   Successfully processed X log files
   

5. Periksa bucket GCS (sfcc-logs) untuk mengonfirmasi bahwa log telah ditulis.

Jika Anda melihat error dalam log:

• HTTP 401: Periksa kredensial SFCC di variabel lingkungan
• HTTP 403: Pastikan akun memiliki izin WebDAV File Access di Business Manager
• HTTP 429: Pembatasan kecepatan - fungsi akan otomatis mencoba lagi dengan penundaan
• Variabel lingkungan tidak ada: Pastikan semua variabel yang diperlukan telah ditetapkan

Mengonfigurasi feed di Google SecOps untuk menyerap log Salesforce Commerce Cloud

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Salesforce Commerce Cloud Logs).
5. Pilih Google Cloud Storage V2 sebagai Source type.
6. Pilih Salesforce Commerce Cloud sebagai Jenis log.

7. Klik Get Service Account. Email akun layanan yang unik akan ditampilkan, misalnya:

   [e-mail]
   

8. Salin alamat email ini. Anda akan menggunakannya pada langkah berikutnya.

   Catatan: Setiap instance Google SecOps memiliki akun layanan yang unik. Jangan gunakan akun layanan dari dokumentasi atau contoh lain.

9. Klik Berikutnya.

10. Tentukan nilai untuk parameter input berikut:

    • URL bucket penyimpanan: Masukkan URI bucket GCS dengan jalur awalan:

      gs://sfcc-logs/sfcc/
      

      • Ganti:
        • sfcc-logs: Nama bucket GCS Anda.
        • sfcc/: Jalur folder/awalan tempat log disimpan.
    Catatan: Selalu sertakan garis miring (/) di akhir URI.

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Jangan pernah: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Hapus file yang ditransfer: Menghapus file setelah transfer berhasil.

      • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil.

        Catatan: Jika Anda memilih opsi penghapusan, akun layanan harus memiliki peran Storage Object Admin, bukan Storage Object Viewer. Perbarui izin IAM yang sesuai.

    • Usia File Maksimum: Sertakan file yang diubah dalam beberapa hari terakhir (defaultnya adalah 180 hari).

    • Namespace aset: Namespace aset.

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

11. Klik Berikutnya.

12. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Memberikan izin IAM ke akun layanan Google SecOps

Akun layanan Google SecOps memerlukan peran Storage Object Viewer di bucket GCS Anda.

1. Buka Cloud Storage > Buckets.
2. Klik nama bucket Anda (sfcc-logs).
3. Buka tab Izin.
4. Klik Grant access.
5. Berikan detail konfigurasi berikut:
   • Add principals: Tempel email akun layanan Google SecOps.
   • Assign roles: Pilih Storage Object Viewer.

6. Klik Simpan.

   Catatan: Jika Anda berencana menggunakan opsi penghapusan "Hapus file yang ditransfer" atau "Hapus file yang ditransfer dan direktori kosong", berikan peran Storage Object Admin, bukan Storage Object Viewer.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
auth.mechanism	extensions.auth.mechanism	Digabung
csv_format	extensions.auth.mechanism	Dipetakan: false → auth.mechanism
event_id	extensions.auth.mechanism	Dipetakan: Login: Success → auth.mechanism
mechanism	extensions.auth.mechanism	Digabung
LoginType	extensions.auth.type	Dipetakan: Application → AUTHTYPE_UNSPECIFIED
csv_format	extensions.auth.type	Dipetakan: false → AUTHTYPE_UNSPECIFIED
event_id	extensions.auth.type	Nilai yang dipetakan (total 6, misalnya ` "Login", "LoginAsEvent", "IdentityVerificationEvent", "LoginE...
eventType.name	metadata.description	Dipetakan secara langsung
metadata_description	metadata.description	Dipetakan secara langsung
collected_timestamp	metadata.event_timestamp	Diuraikan sebagai yyyyMMddHHmmss
createdAt	metadata.event_timestamp	Diuraikan sebagai UNIX_MS
createdDate	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-ddTHH:mm:ss.SSS
timestamp	metadata.event_timestamp	Diuraikan sebagai yyyyMMddHHmmss
ts_date	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-dd HH:mm:ss.SSSZ
csv_format	metadata.event_type	Dipetakan: false → USER_LOGIN, false → USER_LOGOUT, false → `USER_RESOURCE_UPDATE_CON...
event_id	metadata.event_type	Dipetakan: Login: Success → USER_LOGIN, Logout → USER_LOGOUT
event_type	metadata.event_type	Dipetakan secara langsung
label	metadata.ingestion_labels	Digabung
resource_name	metadata.ingestion_labels	Dipetakan: `"ReportEvent","SessionHijackingEventStore","BulkApiResultEventStore","CredentialStu...
attrs.cat	metadata.product_event_type	Diganti namanya/dipetakan
eventType.id	metadata.product_event_type	Dipetakan secara langsung
event_id	metadata.product_event_type	Dipetakan secara langsung
event_identifier	metadata.product_log_id	Dipetakan secara langsung
id	metadata.product_log_id	Dipetakan secara langsung
protocol	network.application_protocol	Dipetakan secara langsung
transaction_id	network.dhcp.transaction_id	Dipetakan secara langsung
referral_url	network.http.referral_url	Dipetakan secara langsung
request_status	network.http.response_code	Dipetakan secara langsung
attrs.Application	principal.application	Diganti nama/dipetakan
enterpriseId	principal.group.product_object_id	Dipetakan secara langsung
attrs.src	principal.ip	Digabung
csv_format	principal.ip	Dipetakan: false → attrs.src
event_id	principal.ip	Dipetakan: Login: Success → attrs.src
Status_LK	principal.labels	Digabung
Status_LK	principal.resource.attribute.labels	Digabung
browser_name	principal.resource.name	Dipetakan secara langsung
memberId	principal.resource.product_object_id	Dipetakan secara langsung
principal_resource_type	principal.resource.type	Dipetakan secara langsung
attrs.usrName	principal.user.email_addresses	Digabung
csv_format	principal.user.email_addresses	Dipetakan: false → attrs.usrName
src_email	principal.user.email_addresses	Digabung
attrs.USER_ID_DERIVED	principal.user.product_object_id	Diganti nama/dipetakan
employee.employeeName	principal.user.user_display_name	Dipetakan secara langsung
user_display_name	principal.user.user_display_name	Dipetakan secara langsung
attrs.usrName	principal.user.userid	Dipetakan secara langsung
employee.userName	principal.user.userid	Dipetakan secara langsung
login_key	principal.user.userid	Dipetakan secara langsung
user_id	principal.user.userid	Dipetakan secara langsung
csv_format	security_result	Dipetakan: false → sec_result
event_id	security_result	Dipetakan: Login: Success → sec_result
sec_result	security_result	Digabung
sr	security_result	Digabung
action	security_result.action	Digabung
eventSource.name	src.resource.name	Dipetakan secara langsung
eventSource.id	src.resource.product_object_id	Dipetakan secara langsung
organization_id	target.administrative_domain	Dipetakan secara langsung
target_hostname	target.asset.hostname	Dipetakan secara langsung
device_id	target.asset_id	Dipetakan secara langsung
target_hostname	target.hostname	Dipetakan secara langsung
call_time	target.resource.attribute.labels	Digabung
cpu	target.resource.attribute.labels	Digabung
db_cpu	target.resource.attribute.labels	Digabung
db_type	target.resource.attribute.labels	Digabung
duration_time	target.resource.attribute.labels	Digabung
entry_p	target.resource.attribute.labels	Digabung
exe_time	target.resource.attribute.labels	Digabung
no_sql_que	target.resource.attribute.labels	Digabung
ope	target.resource.attribute.labels	Digabung
rows_proc	target.resource.attribute.labels	Digabung
run	target.resource.attribute.labels	Digabung
ses_level	target.resource.attribute.labels	Digabung
ss_type	target.resource.attribute.labels	Digabung
total_time	target.resource.attribute.labels	Digabung
user_ty	target.resource.attribute.labels	Digabung
verify_method	target.resource.attribute.labels	Digabung
attrs.AccountId	target.resource.id	Diganti nama/dipetakan
attrs.CaseId	target.resource.id	Diganti nama/dipetakan
attrs.ContactId	target.resource.id	Diganti nama/dipetakan
eventSource.id	target.resource.id	Dipetakan secara langsung
request_id	target.resource.id	Dipetakan secara langsung
eventSource.name	target.resource.name	Dipetakan secara langsung
object.name	target.resource.name	Dipetakan secara langsung
resource_name	target.resource.name	Dipetakan secara langsung
object.id	target.resource.product_object_id	Dipetakan secara langsung
event_id	target.resource.resource_type	Dipetakan: PlatformEncryption → ACCESS_POLICY, ApexCallout → ACCESS_POLICY, `ApexTrigge...
target_resource_type	target.resource.resource_type	Dipetakan secara langsung
event_id	target.resource.type	Dipetakan: (QueuedExecution/ApexExecution) → BATCH, ApexTrigger → DATABASE_TRIGGER, `Co...
attrs.LoginUrl	target.url	Diganti nama/dipetakan
attrs.attributes.url	target.url	Diganti nama/dipetakan
uri	target.url	Dipetakan secara langsung
attrs.usrName	target.user.email_addresses	Digabung
csv_format	target.user.email_addresses	Dipetakan: false → attrs.usrName
event_id	target.user.email_addresses	Dipetakan: Logout → attrs.usrName
target_user_display_name	target.user.user_display_name	Dipetakan secara langsung
target_user_name	target.user.userid	Dipetakan secara langsung
T/A	extensions.auth.auth_details	Konstanta: ACTIVE
T/A	extensions.auth.type	Konstanta: SSO
T/A	metadata.event_type	Konstanta: GENERIC_EVENT
T/A	metadata.product_name	Konstanta: SALESFORCE
T/A	metadata.vendor_name	Konstanta: SALESFORCE
T/A	target.resource.resource_type	Konstanta: ACCESS_POLICY
T/A	target.resource.type	Konstanta: BATCH

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.