Raccogli i log di Salesforce

Supportata in:

Questo documento spiega come raccogliere i log di Salesforce configurando un feed di Google Security Operations utilizzando l'API di terze parti.

Salesforce è una piattaforma di gestione dei rapporti con i clienti (CRM) basata su cloud che fornisce strumenti per vendite, assistenza, marketing e analisi. I log di Salesforce acquisiscono l'attività utente, gli eventi di sicurezza, le modifiche al sistema e l'utilizzo delle API sulla piattaforma.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Salesforce Enterprise Edition o versioni successive (accesso API abilitato)
  • Licenza Salesforce Shield Event Monitoring attivata (obbligatoria per l'accesso a EventLogFile)
  • Autorizzazioni di amministratore di sistema Salesforce
  • OpenSSL installato (per la generazione dei certificati)

Genera una coppia di chiave RSA e un certificato

Genera una chiave privata RSA e un certificato X.509 autofirmato per la firma JWT.

Genera chiave privata

  • Genera la chiave in formato PKCS#8. Il feed di Google SecOps accetta solo chiavi PKCS#8 (intestazione -----BEGIN PRIVATE KEY-----); le chiavi PKCS#1 legacy (-----BEGIN RSA PRIVATE KEY-----) causano errori di analisi durante la creazione del feed.

    openssl genpkey -algorithm RSA -out salesforce_private.key -pkeyopt rsa_keygen_bits:2048

Genera certificato autofirmato

  • Utilizza la tua chiave privata per generare un certificato X.509 autofirmato valido per 365 giorni.

    openssl req -new -x509 -key salesforce_private.key -out salesforce_certificate.crt -days 365

Quando richiesto, inserisci i dettagli del certificato:

  • Nome paese: inserisci il codice paese di due lettere (ad esempio US).
  • State or Province Name: inserisci la tua regione (ad esempio California).
  • Nome località: inserisci la tua città (ad esempio, San Francisco).
  • Nome organizzazione: inserisci il nome della tua organizzazione (ad esempio, Acme Corp).
  • Organizational Unit Name (Nome unità organizzativa): inserisci il reparto (ad esempio, IT Security).
  • Nome comune: inserisci un nome descrittivo (ad esempio SecOps Integration).
  • Indirizzo email: inserisci l'indirizzo email di contatto.

Crea un'app client esterna Salesforce

Le app client esterne sono il metodo consigliato per l'autenticazione OAuth in Salesforce (Spring '26 e versioni successive).

  1. Accedi a Salesforce.
  2. Vai a Setup (icona a forma di ingranaggio in alto a destra).
  3. Nella casella Ricerca rapida, inserisci External Client Apps.
  4. Fai clic su External Client App Manager (Gestione app client esterne).
  5. Fai clic su New External Client App (Nuova app client esterna).

Configura le informazioni di base

  1. Fornisci i seguenti dettagli di configurazione:
    • External Client App Name (Nome app client esterno): inserisci un nome descrittivo (ad esempio, Google SecOps Integration).
    • Nome API: compilato automaticamente in base al nome dell'app. Lascia l'impostazione predefinita o personalizzala.
    • Email di contatto: inserisci il tuo indirizzo email.
    • Stato di distribuzione: seleziona Locale.
  2. Fai clic su Continua.

Abilita le impostazioni OAuth

  1. Seleziona la casella di controllo Enable OAuth (Abilita OAuth).
  2. Fornisci i seguenti dettagli di configurazione:
    • Callback URL (URL di callback): inserisci https://login.salesforce.com/services/oauth2/callback.
  1. Nella sezione OAuth Scopes (Ambiti OAuth), sposta i seguenti ambiti da Available OAuth Scopes (Ambiti OAuth disponibili) a Selected OAuth Scopes (Ambiti OAuth selezionati):
    • Gestisci i dati utente tramite API (api)
    • Perform requests at any time (refresh_token, offline_access) (refresh_token, offline_access)

Abilita il flusso di concessione JWT e carica il certificato

  1. Nella sezione Flow Enablement (Abilitazione flusso), seleziona la casella di controllo Enable JWT Bearer Flow (Abilita flusso di concessione JWT).
  2. Viene visualizzata la sezione Caricamento certificato.
  3. Fai clic su Carica file o trascina il file del certificato.
  4. Seleziona il file salesforce_certificate.crt.
  5. Attendi il completamento del caricamento. Il nome file del certificato dovrebbe essere visualizzato sotto il pulsante di caricamento.

Configura le policy OAuth

  1. Nella sezione OAuth Policies (Policy OAuth):
    • Utenti autorizzati: seleziona Gli utenti approvati dall'amministratore sono preautorizzati.
  2. Fai clic su Salva.

Ottieni la chiave utente

Dopo aver creato l'app client esterna, recupera la chiave utente per la configurazione del feed di Google SecOps.

  1. In External Client App Manager (Gestione app client esterno), fai clic sul nome della tua app (ad esempio Google SecOps Integration).
  2. Vai alla scheda Impostazioni.
  3. Nella sezione OAuth Settings (Impostazioni OAuth), fai clic su Consumer Key and Secret (Chiave utente e secret).
  4. Copia e salva il valore di Consumer Key (Chiave utente).

  • Formato di esempio della chiave utente:

    3MVG9IKcPoNiNVBIPjdw4z.pcfRjTFBp7xC8x9k4U8jZ0HlLQdPqX5bKjR8yNzQ9_YvY.8xD3F2W6nXb5YgNx

Preautorizza l'app client esterna

Salesforce richiede la pre-autorizzazione per il flusso di concessione JWT. Preautorizza assegnando l'app client esterna a un utente tramite un set di autorizzazioni.

Crea set di autorizzazioni

  1. Vai a Setup (Configurazione) > Users (Utenti) > Permission Sets (Set di autorizzazioni).
  2. Fai clic su New (Nuovo).
  3. Fornisci i seguenti dettagli di configurazione:
    • Etichetta: inserisci SecOps Integration Users (ad esempio).
    • Nome API: compilato automaticamente in base all'etichetta.
  4. Fai clic su Salva.

Assegna il set di autorizzazioni all'app client esterna

  1. Vai a Setup > External Client App Manager.
  2. Fai clic sulla tua app client esterna (ad esempio Google SecOps Integration).
  3. Fai clic sulla scheda Norme.
  4. Nella sezione App Policies (Criteri app), in Select Permission Sets (Seleziona set di autorizzazioni):
    1. Sposta il set di autorizzazioni (ad esempio SecOps Integration Users) da Available Permission Sets (Set di autorizzazioni disponibili) a Selected Permission Sets (Set di autorizzazioni selezionati).
  5. Fai clic su Salva.

Assegna il set di autorizzazioni all'utente

  1. Nella pagina dei dettagli del set di autorizzazioni, fai clic su Gestisci assegnazioni.
  2. Fai clic su Aggiungi assegnazioni.
  3. Seleziona la casella di controllo accanto all'account utente che verrà utilizzato per l'integrazione di Google SecOps (ad esempio, integration@acme.com).
  4. Fai clic su Assegna.
  5. Fai clic su Fine.

Configura un feed in Google SecOps per importare i log di Salesforce

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Salesforce EventLogFile).
  5. Seleziona API di terze parti come Tipo di origine.
  6. Seleziona SALESFORCE come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • API Hostname (Nome host API): inserisci il nome host dell'istanza Salesforce (ad esempio, acme.my.salesforce.com).
    • Endpoint JWT OAuth: inserisci l'URL dell'endpoint del token OAuth. Il parametro di query grant_type è obbligatorio per l'utilità di recupero dei feed di Google SecOps e deve essere aggiunto all'URL esattamente come mostrato:
      • Organizzazioni di produzione: https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
      • Organizzazioni sandbox: https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
      • Il mio dominio: https://acme.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
    • Emittente di attestazioni JWT: inserisci la chiave utente dell'app client esterna.
    • JWT Claims Subject (Oggetto delle attestazioni JWT): inserisci il nome utente Salesforce dell'utente preautorizzato (ad esempio, integration@acme.com).
    • Pubblico dei claim JWT: inserisci l'URL del server di autorizzazione. Utilizza solo uno dei due valori riportati di seguito. Non sostituire un URL di My Domain, perché Salesforce lo rifiuta durante la convalida della firma JWT:
      • Organizzazioni di produzione e organizzazioni My Domain: https://login.salesforce.com
      • Organizzazioni sandbox: https://test.salesforce.com

    • Chiave privata RSA: incolla i contenuti completi della chiave privata PKCS#8, inclusi gli indicatori -----BEGIN PRIVATE KEY----- e -----END PRIVATE KEY-----. L'intestazione e il piè di pagina non devono contenere la parola RSA. Una chiave con -----BEGIN RSA PRIVATE KEY----- (PKCS#1) viene rifiutata dall'analizzatore sintattico del feed.

    • Per ottenere i contenuti della chiave privata:

      cat salesforce_private.key

    Copia l'intero output, incluse le righe di intestazione e piè di pagina.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Riferimento ai tipi di istanze Salesforce

I valori dell'endpoint e del pubblico JWT OAuth dipendono dal tipo di istanza Salesforce:

Tipo di istanza Endpoint JWT OAuth Pubblico delle attestazioni JWT Formato del nome host dell'API
Produzione https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://login.salesforce.com company.my.salesforce.com
Sandbox https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://test.salesforce.com company--sandbox.sandbox.my.salesforce.com
My Domain https://domain.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://login.salesforce.com domain.my.salesforce.com

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
ApiType_label additional.fields Unita
ApiVersion_label additional.fields Unita
Application_label additional.fields Unita
AuthMethodReference_label additional.fields Unita
Browser_label additional.fields Unita
ConnectedAppId_label additional.fields Unita
CountryIso_label additional.fields Unita
CreatedByContext_label additional.fields Unita
CreatedById_label additional.fields Unita
CreatedByIssuer_label additional.fields Unita
CreatedBy_FederationIdentifier_label additional.fields Unita
CreatedDate_label additional.fields Unita
DeviceSessionId_label additional.fields Unita
EffectivePageTimeDeviationReason_label additional.fields Unita
EffectivePageTime_label additional.fields Unita
Entityid_label additional.fields Unita
EventIdentifier_label additional.fields Unita
EventUuid_label additional.fields Unita
FederationIdentifier_label additional.fields Unita
HasEffectivePageTimeDeviation_label additional.fields Unita
Id_label additional.fields Unita
LoginGeoId_label additional.fields Unita
LoginHistoryId_label additional.fields Unita
LoginKey_label additional.fields Unita
LoginSubType_label additional.fields Unita
LoginType_label additional.fields Unita
NetId_label additional.fields Unita
NetworkId_label additional.fields Unita
Operation_label additional.fields Unita
OptionsIsGet_label additional.fields Unita
OptionsIsPost_label additional.fields Unita
Platform_label additional.fields Unita
PolicyId_label additional.fields Unita
PreviousPageAppName_label additional.fields Unita
PreviousPageEntityType_label additional.fields Unita
QueriedEntities_label additional.fields Unita
RelatedEventIdentifier_label additional.fields Unita
RequestIdentifier_label additional.fields Unita
RowsProcessed_label additional.fields Unita
RowsReturned_label additional.fields Unita
SdkVersion_label additional.fields Unita
SessionKey_label additional.fields Unita
SessionLevel_label additional.fields Unita
Subdivision_label additional.fields Unita
api_token_label additional.fields Unita
api_type_label additional.fields Unita
auth_service_id_label additional.fields Unita
auth_token additional.fields Unita
browser_version_label additional.fields Unita
channel_label additional.fields Unita
connection_type_label additional.fields Unita
customerName_label additional.fields Unita
datacell_label additional.fields Unita
decoded_body_size_label additional.fields Unita
delegate_user_label additional.fields Unita
device_label additional.fields Unita
device_platform additional.fields Mappatura: : → device_label
done_label additional.fields Unita
encoded_body_size_label additional.fields Unita
evaluation_time_label additional.fields Unita
event_id additional.fields Mappato: `"LightningInteraction", "LightningPerformance", "LightningPageView", "LightningUriE…
initiator_type_label additional.fields Unita
login_key_label additional.fields Unita
loginkey_label additional.fields Unita
map_field additional.fields Unita
next_hop_protocol_label additional.fields Unita
page_app_name_label additional.fields Unita
page_context_label additional.fields Unita
page_entity_id_label additional.fields Unita
page_entity_type_label additional.fields Unita
page_url_label additional.fields Unita
parent_ui_element_label additional.fields Unita
platform_label additional.fields Unita
postal_code_label additional.fields Unita
redirect_start_label additional.fields Unita
render_blocking_status_label additional.fields Unita
replayId_label additional.fields Unita
request_start_label additional.fields Unita
response_end_label additional.fields Unita
response_start_label additional.fields Unita
responsible_namespace_prefix_label additional.fields Unita
schemaId_label additional.fields Unita
schema_label additional.fields Unita
section_label additional.fields Unita
server_request_id_label additional.fields Unita
target_ui_element_label additional.fields Unita
totalSize_label additional.fields Unita
transfer_size_label additional.fields Unita
ts_label additional.fields Unita
ui_event_id_label additional.fields Unita
ui_event_sequence_num_label additional.fields Unita
ui_event_source_label additional.fields Unita
ui_event_timestamp_label additional.fields Unita
ui_event_type_label additional.fields Unita
ui_root_activity_id_label additional.fields Unita
ui_thread_response_delay_label additional.fields Unita
worker_start_label additional.fields Unita
Login_type extensions.auth.auth_details Mappatura diretta
auth.mechanism extensions.auth.mechanism Unita
csv_format extensions.auth.mechanism Mappatura: false → auth.mechanism
event_id extensions.auth.mechanism Mappatura: Login: Success → auth.mechanism
mechanism extensions.auth.mechanism Unita
LoginType extensions.auth.type Mappatura: Application → AUTHTYPE_UNSPECIFIED
csv_format extensions.auth.type Mappatura: false → AUTHTYPE_UNSPECIFIED
event_id extensions.auth.type Valori mappati (8 in totale, ad es. `"IdentityProviderEventStore", "LoginEventStream", "WaveDownloa…
logintype extensions.auth.type Mappatura: SAML Sfdc Initiated SSO → SSO
intermediary_ip intermediary.ip Unita
user_name intermediary.user.user_display_name Mappatura diretta
userid intermediary.user.userid Mappatura diretta
Report_description metadata.description Mappatura diretta
data.properties.Description.str metadata.description Mappatura diretta
metadata_description metadata.description Mappatura diretta
properties.Description metadata.description Mappatura diretta
@timestamp metadata.event_timestamp Analizzato come ISO8601
LoginTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSS+0000
TIMESTAMP metadata.event_timestamp Analizzato come UNIX
TIMESTAMP_DERIVED metadata.event_timestamp Analizzato come ISO8601
User.LastLoginDate metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSS+0000
collected_timestamp metadata.event_timestamp Analizzato come yyyyMMddHHmmss
column6 metadata.event_timestamp Analizzato come yyyyMMddHHmmss
createdAt metadata.event_timestamp Analizzato come UNIX
detail.payload.EventDate metadata.event_timestamp Analizzato come ISO8601
payload.EventDate metadata.event_timestamp Analizzato come ISO8601
properties.EventDate metadata.event_timestamp Analizzato come ISO8601
recordDate metadata.event_timestamp Analizzato come UNIX_MS
startTime metadata.event_timestamp Analizzato come MMM d yyyy, HH:mm:ss:SSS
time_stamp metadata.event_timestamp Analizzato come YYYY-MM-ddTHH:mm:ss
timestamp metadata.event_timestamp Analizzato come yyyyMMddHHmmss
ts_date metadata.event_timestamp Analizzato come yyyy-MM-dd HH:mm:ss.SSSZ
event_type metadata.event_type Mappatura: "", "GENERIC_EVENT" → USER_UNCATEGORIZED, "", "GENERIC_EVENT" → `NETWORK_CONNE…
principal_machine_id_present metadata.event_type Mappatura: true → NETWORK_CONNECTION, true → STATUS_UPDATE
principal_user_present metadata.event_type Mappatura: true → USER_UNCATEGORIZED
label metadata.ingestion_labels Unita
resource_name metadata.ingestion_labels Mappati: `"ReportEvent","SessionHijackingEventStore","BulkApiResultEventStore","CredentialStu…
action metadata.product_event_type Mappatura diretta
attrs.cat metadata.product_event_type Mappatura diretta
event_id metadata.product_event_type Mappatura diretta
name metadata.product_event_type Mappatura diretta
REQUEST_ID metadata.product_log_id Mappatura diretta
column9 metadata.product_log_id Mappatura diretta
data.properties.EventIdentifier.str metadata.product_log_id Mappatura diretta
event_identifier metadata.product_log_id Mappatura diretta
id metadata.product_log_id Mappatura diretta
payload.EventIdentifier metadata.product_log_id Mappatura diretta
product_log_id metadata.product_log_id Mappatura diretta
properties.EventIdentifier metadata.product_log_id Mappatura diretta
ClientVersion metadata.product_version Mappatura diretta
payload.ClientVersion metadata.product_version Mappatura diretta
data.properties.LoginUrl.str metadata.url_back_to_product Mappatura diretta
data.properties.PageUrl.str metadata.url_back_to_product Mappatura diretta
payload.PreviousPageUrl metadata.url_back_to_product Mappatura diretta
protocol network.application_protocol Mappatura diretta
METHOD network.http.method Mappatura diretta
data.properties.HttpMethod.str network.http.method Mappatura diretta
method network.http.method Mappatura diretta
payload.HttpMethod network.http.method Mappatura diretta
properties.HttpMethod network.http.method Mappatura diretta
properties.UserAgent network.http.parsed_user_agent Mappatura diretta
user_agent network.http.parsed_user_agent Mappatura diretta
referral_url network.http.referral_url Mappatura diretta
STATUS_CODE network.http.response_code Mappatura diretta
request_status network.http.response_code Mappatura diretta
Browser_type network.http.user_agent Mappatura diretta
Client_info network.http.user_agent Mappatura diretta
data.properties.UserAgent.str network.http.user_agent Mappatura diretta
detail.payload.UserAgent network.http.user_agent Mappatura diretta
payload.UserAgent network.http.user_agent Mappatura diretta
properties.UserAgent network.http.user_agent Mappatura diretta
user_agent network.http.user_agent Mappatura diretta
RESPONSE_SIZE network.received_bytes Rinominato/mappato
REQUEST_SIZE network.sent_bytes Rinominato/mappato
column17 network.sent_bytes Mappatura diretta
event_id network.sent_bytes Mappatura: AuraRequest → uinteger
LOGIN_KEY network.session_id Mappatura diretta
SESSION_KEY network.session_id Mappatura diretta
data.properties.SESSION_KEY.str network.session_id Mappatura diretta
data.properties.SessionKey.str network.session_id Mappatura diretta
payload.SessionKey network.session_id Mappatura diretta
properties.SessionKey network.session_id Mappatura diretta
session_id network.session_id Mappatura diretta
session_key network.session_id Mappatura diretta
cipher_suite network.tls.cipher Mappatura diretta
data.properties.CipherSuite.str network.tls.cipher Mappatura diretta
payload.CipherSuite network.tls.cipher Mappatura diretta
properties.CipherSuite network.tls.cipher Mappatura diretta
data.properties.TlsProtocol.str network.tls.version Mappatura diretta
payload.TlsProtocol network.tls.version Mappatura diretta
properties.TlsProtocol network.tls.version Mappatura diretta
tls_protocol network.tls.version_protocol Mappatura diretta
data.properties.DelegatedUsername.str observer.user.userid Mappatura diretta
application principal.application Mappatura diretta
attrs.Application principal.application Rinominato/mappato
data.properties.Application.str principal.application Mappatura diretta
payload.Application principal.application Mappatura diretta
properties.Application principal.application Mappatura diretta
src_app_name principal.application Mappatura diretta
SourceIp principal.asset.hostname Mappatura diretta
client_host principal.asset.hostname Mappatura diretta
client_ip_1 principal.asset.hostname Mappatura diretta
detail.payload.Client principal.asset.hostname Mappatura diretta
CLIENT_IP principal.asset.ip Unita
Client_ip principal.asset.ip Unita
SourceIp principal.asset.ip Unita
attrs.src principal.asset.ip Unita
client_ip principal.asset.ip Unita
client_ip_1 principal.asset.ip Unita
column28 principal.asset.ip Unita
csv_format principal.asset.ip Mappatura: false → attrs.src
event_id principal.asset.ip Mapped: API → prin_ip, Sites → column28, Login: Success → attrs.src
ip principal.asset.ip Unita
prin_ip principal.asset.ip Unita
principal_ip_address principal.asset.ip Unita
src_ip1 principal.asset.ip Unita
value principal.asset.ip Unita
data.properties.ASSET_ID.str principal.asset_id Mappatura diretta
SourceIp principal.hostname Mappatura diretta
client_host principal.hostname Mappatura diretta
client_ip_1 principal.hostname Mappatura diretta
detail.payload.Client principal.hostname Mappatura diretta
CLIENT_IP principal.ip Unita
Client_ip principal.ip Unita
SourceIp principal.ip Unita
attrs.src principal.ip Unita
client_ip principal.ip Unita
client_ip_1 principal.ip Unita
column28 principal.ip Unita
csv_format principal.ip Mappatura: false → attrs.src
event_id principal.ip Mapped: API → prin_ip, Sites → column28, Login: Success → attrs.src
ip principal.ip Unita
prin_ip principal.ip Unita
principal_ip principal.ip Unita
principal_ip_address principal.ip Unita
src_ip1 principal.ip Unita
value principal.ip Unita
ApiType_label principal.labels Unita
Client_label principal.labels Unita
ConApp_label principal.labels Unita
OrderBy_label principal.labels Unita
Org_id principal.labels Unita
Qentry_label principal.labels Unita
Query_label principal.labels Unita
Records_label principal.labels Unita
channel principal.labels Unita
colhdr_label principal.labels Unita
disp_field_hdr_label principal.labels Unita
evt_src_label principal.labels Unita
federation_identifier principal.labels Unita
grouped_colhdr_label principal.labels Unita
city principal.location.city Mappatura diretta
data.properties.City.str principal.location.city Mappatura diretta
geoip_src.city_name principal.location.city Mappatura diretta
payload.City principal.location.city Mappatura diretta
properties.City principal.location.city Mappatura diretta
client_geo principal.location.country_or_region Mappatura diretta
data.properties.Country.str principal.location.country_or_region Mappatura diretta
geoip_src.country_name principal.location.country_or_region Mappatura diretta
payload.CountryIso principal.location.country_or_region Mappatura diretta
properties.Country principal.location.country_or_region Mappatura diretta
region principal.location.country_or_region Mappatura diretta
data.properties.LoginLatitude.number principal.location.region_latitude Rinominato/mappato
payload.LoginLatitude principal.location.region_latitude Rinominato/mappato
properties.LoginLatitude principal.location.region_latitude Rinominato/mappato
data.properties.LoginLongitude.number principal.location.region_longitude Rinominato/mappato
payload.LoginLongitude principal.location.region_longitude Rinominato/mappato
properties.LoginLongitude principal.location.region_longitude Rinominato/mappato
geoip_src.region_name principal.location.state Mappatura diretta
namespace principal.namespace Mappatura diretta
source_ip principal.nat_ip Unita
Platform principal.platform Mapped: Windows → WINDOWS, Linux → LINUX, Mac → MAC
data.properties.OsName.str principal.platform Mappatura diretta
os_name principal.platform Mappatura diretta
payload.OsName principal.platform Mappatura diretta
platform principal.platform Mappatura diretta
data.properties.Platform.str principal.platform_version Mappatura diretta
os_version principal.platform_version Mappatura diretta
payload.OsVersion principal.platform_version Mappatura diretta
properties.OsVersion principal.platform_version Mappatura diretta
ApiVersion_label principal.resource.attribute.labels Unita
IsDeleted_label principal.resource.attribute.labels Unita
LogFileContentType_label principal.resource.attribute.labels Unita
LogFileLength_label principal.resource.attribute.labels Unita
LogFile_label principal.resource.attribute.labels Unita
created_by_id_label principal.resource.attribute.labels Unita
key principal.resource.attribute.labels Mappatura: DisplayedFieldEntities → map_field
map_field principal.resource.attribute.labels Unita
os_name_label principal.resource.attribute.labels Unita
principal_ip_address principal.resource.attribute.labels Unita
browser_name principal.resource.name Mappatura diretta
data.properties.Browser.str principal.resource.name Mappatura diretta
product_object_id principal.resource.product_object_id Mappatura diretta
principal_resource_type principal.resource.type Mappatura diretta
LoginUrl principal.url Mappatura diretta
user_labels principal.user.attribute.labels Unita
user_permission_label principal.user.attribute.labels Unita
roles principal.user.attribute.roles Unita
CreatedBy.Email principal.user.email_addresses Unita
Email principal.user.email_addresses Unita
User.Email principal.user.email_addresses Unita
User.Username principal.user.email_addresses Mappatura diretta
attrs.usrName principal.user.email_addresses Unita
csv_format principal.user.email_addresses Mappatura: false → attrs.usrName
email principal.user.email_addresses Unita
properties.Username principal.user.email_addresses Unita
src_email principal.user.email_addresses Mappatura: ^.+@.+$ → src_email
User.Id principal.user.product_object_id Mappatura diretta
attrs.USER_ID_DERIVED principal.user.product_object_id Rinominato/mappato
data.properties.USER_ID_DERIVED.str principal.user.product_object_id Mappatura diretta
principal_product_object_id principal.user.product_object_id Mappatura diretta
payload.UserType principal.user.role_name Mappatura diretta
properties.UserType principal.user.role_name Mappatura diretta
CreatedBy.Name principal.user.user_display_name Mappatura diretta
Name principal.user.user_display_name Mappatura diretta
User.Name principal.user.user_display_name Mappatura diretta
email principal.user.user_display_name Mappatura diretta
profile_name principal.user.user_display_name Mappatura diretta
user_display_name principal.user.user_display_name Mappatura diretta
username principal.user.user_display_name Mappatura diretta
Id principal.user.userid Mappatura diretta
USER_ID principal.user.userid Mappatura diretta
account principal.user.userid Mappatura diretta
attrs.usrName principal.user.userid Mappatura diretta
data.properties.LoginKey.str principal.user.userid Mappatura diretta
data.properties.USER_ID.str principal.user.userid Mappatura diretta
login_key principal.user.userid Mappatura diretta
payload.UserId principal.user.userid Mappatura diretta
principal_user principal.user.userid Mappatura diretta
properties.UserId principal.user.userid Mappatura diretta
user_id principal.user.userid Mappatura diretta
username principal.user.userid Mappatura diretta
action security_result.action Mappatura: "ALLOW", "BLOCK" → action
csv_format security_result.action Mappatura: false → sec_action
event_id security_result.action Mappati: ` "Login", "LoginAsEvent", "IdentityVerificationEvent"…
sec_action security_result.action Unita
status security_result.action Mappatura: Success → sec_action
Status security_result.action_details Mappatura diretta
action security_result.action_details Mappatura diretta
data.properties.Status.str security_result.action_details Mappatura diretta
properties.Status security_result.action_details Mappatura diretta
detail.payload.Query security_result.category_details Unita
LoginType security_result.description Mappatura diretta
description security_result.description Mappatura diretta
logintype security_result.description Mappatura diretta
ActionMessage_label security_result.detection_fields Unita
ElapsedTime_label security_result.detection_fields Unita
EvaluationTime_label security_result.detection_fields Unita
Id_label security_result.detection_fields Unita
NumberOfFailedLogins_label security_result.detection_fields Unita
PolicyOutcome_label security_result.detection_fields Unita
User_url_label security_result.detection_fields Unita
event_id security_result.detection_fields Mappatura: AuraRequest → ActionMessage_label
type_label security_result.detection_fields Unita
column5 security_result.rule_author Mappatura diretta
column1 security_result.rule_id Mappatura diretta
payload.PolicyId security_result.rule_id Mappatura diretta
properties.PolicyId security_result.rule_id Mappatura diretta
column4 security_result.rule_name Mappatura diretta
rule_name security_result.rule_name Mappatura diretta
REQUEST_STATUS security_result.summary Mappatura diretta
column10 security_result.summary Mappatura diretta
data.properties.LoginType.str security_result.summary Mappatura diretta
forecastcategory security_result.summary Mappatura diretta
newvalue security_result.summary Mappatura diretta
oldvalue security_result.summary Mappatura diretta
summary security_result.summary Mappatura diretta
ORGANIZATION_ID target.administrative_domain Mappatura diretta
domain target.administrative_domain Mappatura diretta
organization_id target.administrative_domain Mappatura diretta
properties.OrgName target.administrative_domain Mappatura diretta
app_name target.application Mappatura diretta
data.properties.Application.str target.application Mappatura diretta
payload.AppName target.application Mappatura diretta
properties.AppName target.application Mappatura diretta
target_host target.asset.hostname Mappatura diretta
target_hostname target.asset.hostname Mappatura diretta
data.properties.CLIENT_IP.str target.asset.ip Unita
device_id target.asset_id Mappatura diretta
file_type target.file.mime_type Mappatura diretta
size_bytes target.file.size Mappatura diretta
target_host target.hostname Mappatura diretta
target_hostname target.hostname Mappatura diretta
data.properties.CLIENT_IP.str target.ip Unita
QUERY_IDENTIFIER target.process.command_line Mappatura diretta
cmd_line target.process.command_line Mappatura diretta
data.properties.Query.str target.process.command_line Mappatura diretta
query_exec target.process.command_line Mappatura diretta
job_id target.process.pid Mappatura diretta
PageStartTime_label target.resource.attribute.labels Unita
call_time target.resource.attribute.labels Unita
counts_against_api_limit_label target.resource.attribute.labels Unita
cpu target.resource.attribute.labels Unita
cpu_time_label target.resource.attribute.labels Unita
db_blocks_label target.resource.attribute.labels Unita
db_cpu target.resource.attribute.labels Unita
db_cpu_time_label target.resource.attribute.labels Unita
db_total_time_label target.resource.attribute.labels Unita
db_type target.resource.attribute.labels Unita
duration_time target.resource.attribute.labels Unita
entity_name target.resource.attribute.labels Unita
entity_name_label target.resource.attribute.labels Unita
entry_p target.resource.attribute.labels Unita
event_id target.resource.attribute.labels Valori mappati (5 in totale, ad es. ApiEventStream → ope, ApiEventStream → ses_level, `ApiT…
exception_label target.resource.attribute.labels Unita
exe_time target.resource.attribute.labels Unita
key target.resource.attribute.labels Mappatura: "PageStartTime", "PreviousPageUrl", "Description", "ReportId" → map_field
label target.resource.attribute.labels Unita
map_field target.resource.attribute.labels Unita
media_type_label target.resource.attribute.labels Unita
no_sql_que target.resource.attribute.labels Unita
number_fields_label target.resource.attribute.labels Unita
ope target.resource.attribute.labels Unita
query_type_label target.resource.attribute.labels Unita
rows_proc target.resource.attribute.labels Unita
rows_proc_label target.resource.attribute.labels Unita
run target.resource.attribute.labels Unita
run_time_label target.resource.attribute.labels Unita
ses_level target.resource.attribute.labels Unita
sql_id_label target.resource.attribute.labels Unita
ss_type target.resource.attribute.labels Unita
total_time target.resource.attribute.labels Unita
uripath_label target.resource.attribute.labels Unita
user_derieved_label target.resource.attribute.labels Unita
user_ty target.resource.attribute.labels Unita
user_type_label target.resource.attribute.labels Unita
verify_method target.resource.attribute.labels Unita
wave target.resource.attribute.labels Unita
URI target.resource.id Mappatura diretta
accountid target.resource.id Mappatura diretta
attrs.AccountId target.resource.id Rinominato/mappato
attrs.CaseId target.resource.id Rinominato/mappato
attrs.ContactId target.resource.id Rinominato/mappato
caseid target.resource.id Mappatura diretta
contactid target.resource.id Mappatura diretta
detail.id target.resource.id Mappatura diretta
leadid target.resource.id Mappatura diretta
opportunityid target.resource.id Mappatura diretta
payload.RecordId target.resource.id Mappatura diretta
properties.RecordId target.resource.id Mappatura diretta
request_id target.resource.id Mappatura diretta
StageName target.resource.name Mappatura diretta
data.properties.DATASET_IDS.str target.resource.name Mappatura diretta
field target.resource.name Mappatura diretta
properties.Name target.resource.name Mappatura diretta
resource_name target.resource.name Mappatura diretta
column13 target.resource.product_object_id Mappatura diretta
data.properties.REQUEST_ID.str target.resource.product_object_id Mappatura diretta
properties.OrgId target.resource.product_object_id Mappatura diretta
target_product_object_id target.resource.product_object_id Mappatura diretta
event_id target.resource.resource_type Mapped: PlatformEncryption → ACCESS_POLICY, ApexCallout → ACCESS_POLICY, `ApexTrigge…
target_resource_type target.resource.resource_type Mappatura diretta
event_id target.resource.type Mapped: (QueuedExecution/ApexExecution) → BATCH, ApexTrigger → DATABASE_TRIGGER, `Co…
URI target.url Mappatura diretta
attrs.LoginUrl target.url Rinominato/mappato
attrs.attributes.url target.url Rinominato/mappato
login_url target.url Mappatura diretta
payload.LoginUrl target.url Mappatura diretta
properties.LoginUrl target.url Mappatura diretta
properties.PageUrl target.url Mappatura diretta
uri target.url Mappatura diretta
uripath target.url Mappatura diretta
attrs.usrName target.user.email_addresses Unita
csv_format target.user.email_addresses Mappatura: false → attrs.usrName
email_address target.user.email_addresses Unita
event_id target.user.email_addresses Mappatura: Logout → attrs.usrName
target_user_display_name target.user.user_display_name Mappatura diretta
column5 target.user.userid Mappatura diretta
data.properties.CreatedById.str target.user.userid Mappatura diretta
data.properties.UserId.str target.user.userid Mappatura diretta
detail.payload.UserId target.user.userid Mappatura diretta
target_login_key target.user.userid Mappatura diretta
target_user_id target.user.userid Mappatura diretta
target_user_name target.user.userid Mappatura diretta
N/D extensions.auth.auth_details Costante: ACTIVE
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D metadata.event_type Costante: USER_UNCATEGORIZED
N/D metadata.product_name Costante: SALESFORCE
N/D metadata.vendor_name Costante: SALESFORCE
N/D network.application_protocol Costante: HTTP
N/D network.http.parsed_user_agent Costante: parseduseragent
N/D principal.platform Costante: WINDOWS
N/D principal.resource.type Costante: USER
N/D target.resource.resource_type Costante: ACCESS_POLICY
N/D target.resource.type Costante: BATCH
column17 event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
column5 event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
user_type event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
USER_ID_DERIVED event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
ApiVersion event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
column9 event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
column9 event.idm.read_only_udm.network.http.user_agent Mappato dal log delle modifiche
column9 event.idm.read_only_udm.network.http.parsed_user_agent Mappato dal log delle modifiche
column4 event.idm.read_only_udm.target.administrative_domain Mappato dal log delle modifiche
column18 event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
request_id event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
column13 event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
column18 event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
column20 event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
column8 event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
column7 event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
column16 event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
login_subtype event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
column28 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
column26 event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
source_ip event.idm.read_only_udm.principal.nat_ip Mappato dal log delle modifiche
x_forwarded_for_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
column13 event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
column14 event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
properties.Description event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
properties.City event.idm.read_only_udm.principal.location.city Mappato dal log delle modifiche
properties.AppName event.idm.read_only_udm.target.application Mappato dal log delle modifiche
properties.OrgId event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
properties.OrgName event.idm.read_only_udm.target.administrative_domain Mappato dal log delle modifiche
namespace event.idm.read_only_udm.principal.namespace Mappato dal log delle modifiche
properties.LoginUrl, properties.PageUrl event.idm.read_only_udm.target.url Mappato dal log delle modifiche
properties.Application event.idm.read_only_udm.principal.application Mappato dal log delle modifiche
recordDate event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
name event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
properties.Username event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
properties.UserId event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
properties.UserType event.idm.read_only_udm.principal.user.role_name Mappato dal log delle modifiche
properties.Country event.idm.read_only_udm.principal.location.country_or_region Mappato dal log delle modifiche
properties.SourceIp event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
properties.SourceIp event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
properties.SourceIp (if not a valid IP), properties.OsName (if not Windows, Linux, or Mac), properties.DisplayedFieldEntities event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
properties.TlsProtocol event.idm.read_only_udm.network.tls.version Mappato dal log delle modifiche
properties.CipherSuite event.idm.read_only_udm.network.tls.cipher Mappato dal log delle modifiche
properties.EventDate, startTime event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
properties.EventIdentifier event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
properties.HttpMethod event.idm.read_only_udm.network.http.method Mappato dal log delle modifiche
properties.HttpMethod event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
properties.LoginLatitude event.idm.read_only_udm.principal.location.region_latitude Mappato dal log delle modifiche
properties.LoginLongitude event.idm.read_only_udm.principal.location.region_longitude Mappato dal log delle modifiche
properties.OsName, properties.Platform event.idm.read_only_udm.principal.platform Mappato dal log delle modifiche
properties.OsVersion event.idm.read_only_udm.principal.platform_version Mappato dal log delle modifiche
properties.RecordId event.idm.read_only_udm.target.resource.id Mappato dal log delle modifiche
properties.SessionKey event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
properties.UserAgent event.idm.read_only_udm.network.http.user_agent Mappato dal log delle modifiche
properties.UserAgent event.idm.read_only_udm.network.http.parsed_user_agent Mappato dal log delle modifiche
properties.PageStartTime, properties.PreviousPageUrl, properties.Description, properties.ReportId event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
properties.Name event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
and event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
detail.payload.ConnectedAppId additional.fields Mappato dal log delle modifiche
detail.payload.Platform additional.fields Mappato dal log delle modifiche
detail.payload.EvaluationTime additional.fields Mappato dal log delle modifiche
detail.payload.Operation additional.fields Mappato dal log delle modifiche
detail.payload.LoginHistoryId additional.fields Mappato dal log delle modifiche
detail.payload.CreatedById additional.fields Mappato dal log delle modifiche
detail.payload.SessionKey additional.fields Mappato dal log delle modifiche
detail.payload.ApiType additional.fields Mappato dal log delle modifiche
detail.payload.PolicyOutcome security_result.detection_fields Mappato dal log delle modifiche
detail.payload.EventIdentifier additional.fields Mappato dal log delle modifiche
detail.payload.RequestIdentifier additional.fields Mappato dal log delle modifiche
detail.payload.ApiVersion additional.fields Mappato dal log delle modifiche
detail.payload.RelatedEventIdentifier additional.fields Mappato dal log delle modifiche
detail.payload.Username target.user.email_addresses Mappato dal log delle modifiche
detail.payload.RowsProcessed additional.fields Mappato dal log delle modifiche
detail.payload.RowsReturned additional.fields Mappato dal log delle modifiche
detail.payload.SourceIp principal.ip Mappato dal log delle modifiche
detail.payload.CreatedDate additional.fields Mappato dal log delle modifiche
detail.payload.LoginKey additional.fields Mappato dal log delle modifiche
detail.payload.Application additional.fields Mappato dal log delle modifiche
detail.payload.PolicyId additional.fields Mappato dal log delle modifiche
detail.payload.QueriedEntities additional.fields Mappato dal log delle modifiche
detail.payload.SessionLevel additional.fields Mappato dal log delle modifiche
detail.schemaId additional.fields Mappato dal log delle modifiche
records_index.attributes.type security_result.detection_fields Mappato dal log delle modifiche
column25 network.http.user_agent Mappato dal log delle modifiche
column24 network.http.user_agent Mappato dal log delle modifiche
column24 network.http.method Mappato dal log delle modifiche
CreatedBy.FederationIdentifier additional.fields Mappato dal log delle modifiche
Section additional.fields Mappato dal log delle modifiche
DelegateUser additional.fields Mappato dal log delle modifiche
ResponsibleNamespacePrefix additional.fields Mappato dal log delle modifiche
payload.PreviousPageEntityId", "payload.SdkVersion", "payload.Operation", "payload.PageUrl", "HasEffectivePageTimeDeviation_label", "payload.EffectivePageTime", "payload.EffectivePageTimeDeviationReason", "payload.DeviceSessionId", "payload.PreviousPageAppName", and "payload.PreviousPageEntityType additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.