Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log SentinelOne Deep Visibility

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengekspor log SentinelOne Deep Visibility ke Google Security Operations menggunakan Cloud Funnel untuk mengekspor log ke Google Cloud Storage. Parser mengubah log peristiwa keamanan berformat JSON mentah menjadi format terstruktur yang sesuai dengan UDM. Parser ini pertama-tama menginisialisasi serangkaian variabel, lalu mengekstrak jenis peristiwa dan mengurai payload JSON, memetakan kolom yang relevan ke skema UDM sambil menangani log peristiwa Windows secara terpisah.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Akses dengan hak istimewa ke Google Cloud
SentinelOne Deep Visibility disiapkan di lingkungan Anda
Akses istimewa ke SentinelOne

Membuat Bucket Google Cloud Storage

Login ke Google Cloud console.
Buka halaman Cloud Storage Buckets.

Buka Bucket
Klik Buat.
Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Continue untuk melanjutkan ke langkah berikutnya:
1. Di bagian Get started, lakukan tindakan berikut:
  1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, sentinelone-deepvisibility.
  2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimize for file oriented and data-intensive workloads, lalu pilih Enable Hierarchical namespace on this bucket.
    
    Catatan: Anda tidak dapat mengaktifkan namespace hierarkis di bucket yang ada.
  3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Labels.
  4. Klik Add label, lalu tentukan kunci dan nilai untuk label Anda.
2. Di bagian Choose where to store your data, lakukan tindakan berikut:
  1. Pilih Location type.
  2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.
    
    Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.
  3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Set up cross-bucket replication.
3. Di bagian Choose a storage class for your data, pilih default storage class untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.
4. Di bagian Choose how to control access to objects, pilih not untuk menerapkan public access prevention, lalu pilih access control model untuk objek bucket Anda.
  
  Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Prevent public access akan dikunci.
5. Di bagian Choose how to protect object data, lakukan hal berikut:
  1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket.
  2. Untuk memilih cara data objek Anda akan dienkripsi, klik panah peluas berlabel Data encryption, lalu pilih Data encryption method.
Klik Create.

Membuat Akun Layanan Google Cloud

Buka IAM & Admin > Service Accounts.
Buat akun layanan baru.
Beri nama deskriptif; misalnya, sentinelone-dv-logs.
Berikan peran Storage Object Creator kepada akun layanan di bucket Cloud Storage yang Anda buat di langkah sebelumnya.
Buat kunci SSH untuk akun layanan.
Download file kunci JSON untuk akun layanan. Pastikan file ini tetap aman.

Cara mengonfigurasi Cloud Funnel di SentinelOne DeepVisibility

Login ke SentinelOne DeepVisibility.
Klik Configure > Policy & Settings.
Di bagian Singularity Data Lake, klik Cloud Funnel.
Berikan detail konfigurasi berikut:
- Penyedia Cloud: Pilih Google Cloud.
- Bucket Name: Masukkan nama bucket Cloud Storage yang Anda buat untuk penyerapan log SentinelOne DeepVisibility.
- Streaming Telemetri: Pilih Aktifkan.
- Filter Kueri: Buat kueri yang menyertakan agen yang perlu mengirim data ke bucket Cloud Storage.
- Klik Validate.
- Fields to include: Pilih semua kolom.
Klik Simpan.

Menyiapkan feed

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

Settings > Data Management > Feeds > Add New Feed (Di platform khusus SIEM, Settings > Feeds > Add New Feed)
Content Hub > Paket Konten > Mulai

Cara menyiapkan feed SentinelOne Deep Visibility

Klik paket SentinelOne.
Di jenis log SentinelOne Deep Visibility, tentukan nilai untuk kolom berikut:
- Source type: Google Cloud Storage V2.
- Storage bucket URI: URI sumber bucket Google Cloud Storage.
- Opsi penghapusan sumber: Apakah akan menghapus file atau direktori setelah transfer. Pilih opsi Hapus file yang ditransfer di Opsi penghapusan sumber.
- Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
- Chronicle Service Account: Salin Akun Layanan. Anda akan memerlukannya untuk menambahkan izin di bucket untuk Akun Layanan ini agar Google SecOps dapat membaca atau menghapus data di bucket.

Opsi lanjutan

Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
Namespace Aset: Namespace yang terkait dengan feed.
Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Tabel Pemetaan UDM

Kolom log	pemetaan UDM	Logika
AdapterName	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'AdapterName' di log mentah.
AdapterSuffixName	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'AdapterSuffixName' di log mentah.
agent_version	read_only_udm.metadata.product_version	Nilai diambil dari kolom 'meta.agent_version' di log mentah.
Saluran	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'Channel' di log mentah.
commandLine	read_only_udm.principal.process.command_line	Nilai diambil dari kolom 'event.Event...commandLine' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
computer_name	read_only_udm.principal.hostname	Nilai diambil dari kolom 'meta.computer_name' di log mentah.
destinationAddress.address	read_only_udm.target.ip	Nilai diambil dari kolom 'event.Event.Tcpv4.destinationAddress.address' di log mentah.
destinationAddress.port	read_only_udm.target.port	Nilai diambil dari kolom 'event.Event.Tcpv4.destinationAddress.port' di log mentah.
DnsServerList	read_only_udm.principal.ip	Nilai diambil dari kolom 'DnsServerList' di log mentah.
ErrorCode_new	security_result.detection_fields.value	Nilai diambil dari kolom 'ErrorCode_new' di log mentah.
EventID	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'EventID' di log mentah.
event.Event.Dns.query	read_only_udm.network.dns.questions.name	Nilai diambil dari kolom 'event.Event.Dns.query' di log mentah.
event.Event.Dns.results	read_only_udm.network.dns.answers.data	Nilai diambil dari kolom 'event.Event.Dns.results' di log mentah.
event.Event.Dns.source.fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event.Dns.source.fullPid.pid' di log mentah.
event.Event.Dns.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.Dns.source.user.name' di log mentah.
event.Event.FileCreation.source.fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event.FileCreation.source.fullPid.pid' di log mentah.
event.Event.FileCreation.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.FileCreation.source.user.name' di log mentah.
event.Event.FileCreation.targetFile.path	read_only_udm.target.file.full_path	Nilai diambil dari kolom 'event.Event.FileCreation.targetFile.path' di log mentah.
event.Event.FileDeletion.source.fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event.FileDeletion.source.fullPid.pid' di log mentah.
event.Event.FileDeletion.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.FileDeletion.source.user.name' di log mentah.
event.Event.FileDeletion.targetFile.path	read_only_udm.target.file.full_path	Nilai diambil dari kolom 'event.Event.FileDeletion.targetFile.path' di log mentah.
event.Event.FileModification.file.path	read_only_udm.target.file.full_path	Nilai diambil dari kolom 'event.Event.FileModification.file.path' di log mentah.
event.Event.FileModification.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.FileModification.source.user.name' di log mentah.
event.Event.FileModification.targetFile.path	read_only_udm.target.file.full_path	Nilai diambil dari kolom 'event.Event.FileModification.targetFile.path' di log mentah.
event.Event.Http.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.Http.source.user.name' di log mentah.
event.Event.Http.url	read_only_udm.target.url	Nilai diambil dari kolom 'event.Event.Http.url' di log mentah.
event.Event.ProcessCreation.process.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.ProcessCreation.process.user.name' di log mentah.
event.Event.ProcessCreation.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.ProcessCreation.source.user.name' di log mentah.
event.Event.ProcessExit.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.ProcessExit.source.user.name' di log mentah.
event.Event.ProcessTermination.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.ProcessTermination.source.user.name' di log mentah.
event.Event.RegKeyCreate.source.fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event.RegKeyCreate.source.fullPid.pid' di log mentah.
event.Event.RegKeyCreate.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.RegKeyCreate.source.user.name' di log mentah.
event.Event.RegKeyDelete.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.RegKeyDelete.source.user.name' di log mentah.
event.Event.RegValueModified.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.RegValueModified.source.user.name' di log mentah.
event.Event.SchedTaskDelete.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.SchedTaskDelete.source.user.name' di log mentah.
event.Event.SchedTaskRegister.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.SchedTaskRegister.source.user.name' di log mentah.
event.Event.SchedTaskStart.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.SchedTaskStart.source.user.name' di log mentah.
event.Event.SchedTaskTrigger.source.fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event.SchedTaskTrigger.source.fullPid.pid' di log mentah.
event.Event.SchedTaskTrigger.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.SchedTaskTrigger.source.user.name' di log mentah.
event.Event.Tcpv4.source.fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event.Tcpv4.source.fullPid.pid' di log mentah.
event.Event.Tcpv4.source.user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event.Tcpv4.source.user.name' di log mentah.
event.Event.Tcpv4Listen.local.address	read_only_udm.principal.ip	Nilai diambil dari kolom 'event.Event.Tcpv4Listen.local.address' di log mentah.
event.timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.seconds	Nilai diambil dari kolom 'event.timestamp.millisecondsSinceEpoch' di log mentah, yang dikonversi ke detik.
event.timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.nanos	Nilai diambil dari kolom 'event.timestamp.millisecondsSinceEpoch' di log mentah, yang dikonversi ke nanodetik.
event.timestamp.millisecondsSinceEpoch	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'event.timestamp.millisecondsSinceEpoch' di log mentah dan digunakan sebagai nilai untuk label dalam array security_result.about.resource.attribute.labels.
event_type	read_only_udm.metadata.product_event_type	Nilai ini diekstrak dari kolom 'message' di log mentah menggunakan pola grok.
executable.hashes.md5	read_only_udm.principal.process.file.md5	Nilai diambil dari kolom 'event.Event...executable.hashes.md5' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
executable.hashes.sha1	read_only_udm.principal.process.file.sha1	Nilai diambil dari kolom 'event.Event...executable.hashes.sha1' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
executable.hashes.sha256	read_only_udm.principal.process.file.sha256	Nilai diambil dari kolom 'event.Event...executable.hashes.sha256' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
executable.path	read_only_udm.principal.process.file.full_path	Nilai diambil dari kolom 'event.Event...executable.path' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
executable.sizeBytes	read_only_udm.principal.process.file.size	Nilai diambil dari kolom 'event.Event...executable.sizeBytes' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
fullPid.pid	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'event.Event...fullPid.pid' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
hashes.md5	read_only_udm.target.file.md5	Nilai diambil dari kolom 'event.Event.ProcessCreation.hashes.md5' di log mentah.
hashes.sha1	read_only_udm.target.file.sha1	Nilai diambil dari kolom 'event.Event.ProcessCreation.hashes.sha1' di log mentah.
hashes.sha256	read_only_udm.target.file.sha256	Nilai diambil dari kolom 'event.Event.ProcessCreation.hashes.sha256' di log mentah.
IpAddress	read_only_udm.target.ip	Nilai diambil dari kolom 'IpAddress' di log mentah.
local.address	read_only_udm.principal.ip	Nilai diambil dari kolom 'event.Event.Tcpv4Listen.local.address' di log mentah.
local.port	read_only_udm.principal.port	Nilai diambil dari kolom 'event.Event.Tcpv4Listen.local.port' di log mentah.
log_type	read_only_udm.metadata.log_type	Nilai ini diambil dari kolom 'log_type' di log mentah.
meta.agent_version	read_only_udm.metadata.product_version	Nilai diambil dari kolom 'meta.agent_version' di log mentah.
meta.computer_name	read_only_udm.principal.hostname	Nilai diambil dari kolom 'meta.computer_name' di log mentah.
meta.os_family	read_only_udm.principal.platform	Nilai diambil dari kolom 'meta.os_family' di log mentah dan dipetakan ke platform yang sesuai (misalnya, `windows` ke WINDOWS, `osx` ke MAC, `linux` ke LINUX).
meta.os_name	read_only_udm.principal.platform_version	Nilai diambil dari kolom 'meta.os_name' di log mentah.
meta.os_revision	read_only_udm.principal.platform_patch_level	Nilai ini diambil dari kolom 'meta.os_revision' di log mentah.
meta.uuid	read_only_udm.principal.asset_id	Nilai diambil dari kolom 'meta.uuid' di log mentah dan diawali dengan `SENTINELONE:`.
nama	read_only_udm.principal.application	Nilainya diambil dari kolom 'event.Event...name' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
parent.executable.hashes.md5	read_only_udm.target.process.parent_process.file.md5	Nilai diambil dari kolom 'event.Event..parent.executable.hashes.md5' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit).
parent.executable.hashes.sha1	read_only_udm.target.process.parent_process.file.sha1	Nilai diambil dari kolom 'event.Event..parent.executable.hashes.sha1' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit).
parent.executable.hashes.sha256	read_only_udm.target.process.parent_process.file.sha256	Nilai diambil dari kolom 'event.Event..parent.executable.hashes.sha256' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit).
parent.executable.path	read_only_udm.target.process.parent_process.file.full_path	Nilai diambil dari kolom 'event.Event..parent.executable.path' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit).
parent.fullPid.pid	read_only_udm.target.process.parent_process.pid	Nilainya diambil dari kolom 'event.Event..parent.fullPid.pid' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit).
jalur	read_only_udm.principal.process.file.full_path	Nilai diambil dari kolom 'event.Event...path' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
process.commandLine	read_only_udm.target.process.command_line	Nilai diambil dari kolom 'event.Event.ProcessCreation.process.commandLine' di log mentah.
process.fullPid.pid	read_only_udm.target.process.pid	Nilai diambil dari kolom 'event.Event.ProcessCreation.process.fullPid.pid' di log mentah.
process.parent.fullPid.pid	read_only_udm.target.process.parent_process.pid	Nilai diambil dari kolom 'event.Event.ProcessCreation.process.parent.fullPid.pid' di log mentah.
ProviderGuid	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'ProviderGuid' di log mentah, dengan tanda kurung kurawal dihapus.
query	read_only_udm.network.dns.questions.name	Nilai diambil dari kolom 'event.Event.Dns.query' di log mentah.
RecordNumber	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'RecordNumber' di log mentah.
regKey.path	read_only_udm.target.registry.registry_key	Nilai diambil dari kolom 'event.Event.RegKeyCreate.regKey.path' atau 'event.Event.RegKeyDelete.regKey.path' di log mentah.
regValue.path	read_only_udm.target.registry.registry_key	Nilai diambil dari kolom 'event.Event.RegValueDelete.regValue.path' atau 'event.Event.RegValueModified.regValue.path' di log mentah.
hasil	read_only_udm.network.dns.answers.data	Nilai diambil dari kolom 'event.Event.Dns.results' di log mentah.
Sent UpdateServer	intermediary.hostname	Nilai ini diambil dari kolom 'Sent UpdateServer' di log mentah.
seq_id		Kolom ini tidak dipetakan langsung ke UDM.
signature.Status.Signed.identity		Kolom ini tidak dipetakan langsung ke UDM.
sizeBytes	read_only_udm.principal.process.file.size	Nilai diambil dari kolom 'event.Event...sizeBytes' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
sourceAddress.address	read_only_udm.principal.ip	Nilai diambil dari kolom 'event.Event.Tcpv4.sourceAddress.address' di log mentah.
sourceAddress.port	read_only_udm.principal.port	Nilai diambil dari kolom 'event.Event.Tcpv4.sourceAddress.port' di log mentah.
SourceName	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'SourceName' di log mentah.
status		Kolom ini tidak dipetakan langsung ke UDM.
taskName	read_only_udm.target.resource.name	Nilai diambil dari kolom 'event.Event.SchedTaskStart.taskName', 'event.Event.SchedTaskTrigger.taskName', atau 'event.Event.SchedTaskDelete.taskName' di log mentah.
targetFile.hashes.md5	read_only_udm.target.file.md5	Nilai diambil dari kolom 'event.Event.FileDeletion.targetFile.hashes.md5' atau 'event.Event.SchedTaskStart.targetFile.hashes.md5' di log mentah.
targetFile.hashes.sha1	read_only_udm.target.file.sha1	Nilai diambil dari kolom 'event.Event.FileDeletion.targetFile.hashes.sha1' atau 'event.Event.SchedTaskStart.targetFile.hashes.sha1' di log mentah.
targetFile.hashes.sha256	read_only_udm.target.file.sha256	Nilai diambil dari kolom 'event.Event.FileDeletion.targetFile.hashes.sha256' atau 'event.Event.SchedTaskStart.targetFile.hashes.sha256' di log mentah.
targetFile.path	read_only_udm.target.file.full_path	Nilai diambil dari kolom 'event.Event.FileDeletion.targetFile.path' atau 'event.Event.SchedTaskStart.targetFile.path' di log mentah.
Tugas	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'Task' di log mentah.
timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.seconds	Nilai diambil dari kolom 'event.timestamp.millisecondsSinceEpoch' di log mentah, yang dikonversi ke detik.
timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.nanos	Nilai diambil dari kolom 'event.timestamp.millisecondsSinceEpoch' di log mentah, yang dikonversi ke nanodetik.
trace_id		Kolom ini tidak dipetakan langsung ke UDM.
triggerType		Kolom ini tidak dipetakan langsung ke UDM.
trueContext		Kolom ini tidak dipetakan langsung ke UDM.
trueContext.key		Kolom ini tidak dipetakan langsung ke UDM.
trueContext.key.value		Kolom ini tidak dipetakan langsung ke UDM.
jenis	read_only_udm.network.dns.answers.type	Nilai diambil dari kolom 'event.Event.Dns.results' di log mentah dan diekstrak menggunakan ekspresi reguler.
url	read_only_udm.target.url	Nilai diambil dari kolom 'event.Event.Http.url' di log mentah.
user.name	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'event.Event...user.name' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
user.sid	read_only_udm.principal.user.windows_sid	Nilai diambil dari kolom 'event.Event...user.sid' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
UserID	read_only_udm.target.user.windows_sid	Nilai diambil dari kolom 'UserID' di log mentah, hanya jika cocok dengan pola SID Windows.
UserSid	read_only_udm.target.user.windows_sid	Nilai diambil dari kolom 'UserSid' di log mentah, hanya jika cocok dengan pola SID Windows.
valueType		Kolom ini tidak dipetakan langsung ke UDM.
winEventLog.channel	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'winEventLog.channel' di log mentah.
winEventLog.description		Kolom ini tidak dipetakan langsung ke UDM.
winEventLog.id	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'winEventLog.id' di log mentah.
winEventLog.level	security_result.severity	Nilai diambil dari kolom 'winEventLog.level' di log mentah dan dipetakan ke tingkat keparahan yang sesuai (misalnya, `Warning` ke MEDIUM).
winEventLog.providerName	security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom 'winEventLog.providerName' di log mentah.
winEventLog.xml		Kolom ini tidak dipetakan langsung ke UDM.
	read_only_udm.metadata.event_type	Nilai ditentukan berdasarkan kolom 'event_type' dan dipetakan ke jenis peristiwa UDM yang sesuai.
	read_only_udm.metadata.vendor_name	Nilai ditetapkan ke `SentinelOne`.
	read_only_udm.metadata.product_name	Nilai ditetapkan ke `Deep Visibility`.
	read_only_udm.metadata.product_log_id	Nilai diambil dari kolom 'trace.id' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.metadata.product_deployment_id	Nilai diambil dari kolom 'account.id' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.metadata.url_back_to_product	Nilai diambil dari kolom 'mgmt.url' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.metadata.ingestion_labels.key	Nilai ditetapkan ke `Process eUserUid` atau `Process lUserUid` untuk peristiwa dengan 'meta.event.name' sama dengan `PROCESSCREATION`.
	read_only_udm.metadata.ingestion_labels.value	Nilai diambil dari kolom 'src.process.eUserUid' atau 'src.process.lUserUid' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.principal.administrative_domain	Bagian domain dari kolom 'event.Event...user.name' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit) dan adalah kolom yang berisi informasi proses (misalnya, proses, sumber, induk).
	read_only_udm.target.process.parent_process.command_line	Nilai diambil dari kolom 'event.Event..parent.commandLine' di log mentah, dengan adalah jenis peristiwa tertentu (misalnya, ProcessCreation, ProcessExit).
	read_only_udm.target.file	Objek kosong akan dibuat jika 'event_type' bukan `FileCreation`, `FileDeletion`, `FileModification`, `SchedTaskStart`, atau `ProcessCreation`.
	read_only_udm.network.ip_protocol	Nilai ditetapkan ke TCP untuk peristiwa dengan 'event_type' yang sama dengan `Tcpv4`, `Tcpv4Listen`, atau `Http`.
	read_only_udm.network.application_protocol	Nilai ditetapkan ke DNS untuk peristiwa dengan 'event_type' yang sama dengan `Dns`.
	read_only_udm.target.resource.type	Nilai ditetapkan ke `TASK` untuk peristiwa dengan 'event_type' yang sama dengan `SchedTaskStart`, `SchedTaskTrigger`, atau `SchedTaskDelete`.
	read_only_udm.target.resource.resource_type	Nilai ditetapkan ke TASK untuk peristiwa dengan 'event_type' yang sama dengan `SchedTaskStart`, `SchedTaskTrigger`, atau `SchedTaskDelete`.
	read_only_udm.principal.process.product_specific_process_id	Nilai ditetapkan ke `ExecutionThreadID:<ExecutionThreadID>` jika kolom 'ExecutionThreadID' ada di log mentah.
	read_only_udm.principal.asset.asset_id	Nilai ditetapkan ke `Device ID:<agent.uuid>` jika kolom 'agent.uuid' ada di log mentah.
	read_only_udm.principal.namespace	Nilai diambil dari kolom 'site.id' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.principal.location.name	Nilai diambil dari kolom 'site.name' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.principal.resource.attribute.labels.key	Nilai ditetapkan ke `src.process.displayName`, `src.process.uid`, `isRedirectCmdProcessor`, `isNative64Bit`, `isStorylineRoot`, `signedStatus`, `src process subsystem`, `src process integrityLevel`, atau `childProcCount` untuk peristiwa dengan 'meta.event.name' sama dengan `PROCESSCREATION`.
	read_only_udm.principal.resource.attribute.labels.value	Nilai diambil dari kolom yang sesuai di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.target.user.userid	Nilai diambil dari kolom 'tgt.process.uid' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.target.user.user_display_name	Nilai diambil dari kolom 'tgt.process.displayName' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.target.resource.attribute.labels.key	Nilai ditetapkan ke `isRedirectCmdProcessor`, `isNative64Bit`, `isStorylineRoot`, `signedStatus`, `file_isSigned`, `tgt process subsystem`, atau `tgt process integrityLevel` untuk peristiwa dengan 'meta.event.name' sama dengan `PROCESSCREATION`.
	read_only_udm.target.resource.attribute.labels.value	Nilai diambil dari kolom yang sesuai di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.security_result.about.resource.attribute.labels.key	Nilai ditetapkan ke `tgt.process.storyline.id`, `endpoint_type`, `packet_id`, `src.process.storyline.id`, atau `src.process.parent.storyline.id` untuk peristiwa dengan 'meta.event.name' sama dengan `PROCESSCREATION`.
	read_only_udm.security_result.about.resource.attribute.labels.value	Nilai diambil dari kolom yang sesuai di log mentah dan diawali dengan `ID:` untuk ID alur cerita, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `PROCESSCREATION`.
	read_only_udm.security_result.category_details	Nilai ditetapkan ke `security` untuk peristiwa dengan 'meta.event.name' sama dengan `PROCESSCREATION`.
	read_only_udm.target.asset.product_object_id	Nilai diambil dari kolom 'AdapterName' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' sama dengan `EVENTLOG`.
	security_result.about.resource.attribute.labels.key	Nilai ditetapkan ke `TimeCreated SystemTime`, `EventID`, `Task`, `Channel`, `ProviderGuid`, `RecordNumber`, `SourceName`, `endpoint_type`, atau `packet_id` untuk peristiwa dengan 'meta.event.name' sama dengan `EVENTLOG`.
	security_result.detection_fields.key	Nilai ditetapkan ke `Activity ID` untuk peristiwa dengan 'meta.event.name' sama dengan `EVENTLOG` dan kolom 'ActivityID' yang tidak kosong.
	security_result.detection_fields.value	Nilai diambil dari kolom 'ActivityID' di log mentah, hanya untuk peristiwa dengan 'meta.event.name' yang sama dengan `EVENTLOG` dan kolom 'ActivityID' yang tidak kosong.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.