Mengumpulkan log Aktivitas SentinelOne

Didukung di:

Dokumen ini menjelaskan cara menyerap log Aktivitas SentinelOne ke Google Security Operations menggunakan Google Cloud Storage V2.

SentinelOne Singularity adalah platform perlindungan endpoint otonom yang menyediakan kemampuan pencegahan, deteksi, dan respons real-time di seluruh endpoint, workload cloud, dan perangkat IoT. Log Aktivitas mencatat peristiwa administratif dan operasional di lingkungan SentinelOne Anda, termasuk login pengguna, perubahan kebijakan, tindakan pengelolaan ancaman, penginstalan agen, dan perubahan konfigurasi sistem. Log aktivitas ini dapat diekspor melalui REST API SentinelOne dan ditulis ke bucket GCS untuk penyerapan oleh Google SecOps.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Project GCP dengan Cloud Storage API yang diaktifkan
  • Izin untuk membuat dan mengelola bucket GCS
  • Izin untuk membuat layanan Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler
  • Konsol pengelolaan SentinelOne Singularity dengan akses API
  • Akun pengguna layanan SentinelOne dengan peran Viewer atau yang lebih tinggi

Membuat token API SentinelOne

  1. Login ke konsol pengelolaan SentinelOne di https://<your-management-url>.sentinelone.net.
  2. Buka Setelan > Pengguna > Pengguna Layanan.
  3. Klik Actions > Create New Service User.
  4. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, SIEM Activity Log Integration)
    • Tanggal habis masa berlaku: Tetapkan tanggal habis masa berlaku atau biarkan sebagai default
    • Tingkat cakupan: Pilih cakupan yang sesuai (Akun atau Situs)
    • Role: Pilih Viewer (minimum yang diperlukan untuk membaca log aktivitas)
  5. Klik Create User.
  6. Dialog akan menampilkan token API.
  7. Salin dan simpan token API dengan aman.

Memverifikasi akses API

  • Uji kredensial Anda sebelum melanjutkan integrasi:

    S1_BASE_URL="https://your-management-url.sentinelone.net"
S1_API_TOKEN="your-api-token"

curl -s -X GET "${S1_BASE_URL}/web/api/v2.1/activities?limit=2" \
    -H "Authorization: ApiToken ${S1_API_TOKEN}" \
    | python3 -m json.tool

  • Respons yang berhasil akan menampilkan objek JSON dengan array data yang berisi data aktivitas dan objek pagination:

    {
    "data": [
        {
            "id": "123456789",
            "activityType": 27,
            "activityUuid": "a2c8037c-e6df-436d-b92b-bc09a418717e",
            "createdAt": "2026-03-29T10:30:00.000000Z",
            "primaryDescription": "User logged in",
            "accountId": "123456",
            "accountName": "My Account",
            "siteId": "789012",
            "data": {}
        }
    ],
    "pagination": {
        "nextCursor": "eyJpZCI6...",
        "totalItems": 1500
    }
}

Jika Anda melihat error ini:

  • HTTP 401 (Unauthorized): Pastikan token API sudah benar dan belum habis masa berlakunya.
  • HTTP 403 (Forbidden): Pastikan pengguna layanan memiliki cakupan dan peran yang sesuai.

Membuat bucket Google Cloud Storage

  1. Buka Konsol Google Cloud.
  2. Pilih project Anda atau buat project baru.
  3. Di menu navigasi, buka Cloud Storage > Buckets.
  4. Klik Create bucket.

  5. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Memberi nama bucket Anda Masukkan nama yang unik secara global (misalnya, sentinelone-activity-logs)
    Location type Pilih sesuai kebutuhan Anda (Region, Dual-region, Multi-region)
    Location Pilih lokasi (misalnya, us-central1)
    Storage class Standard (direkomendasikan untuk log yang sering diakses)
    Kontrol akses Seragam (direkomendasikan)
    Alat perlindungan Opsional: Mengaktifkan pembuatan versi objek atau kebijakan retensi

  6. Klik Create.

Membuat akun layanan untuk fungsi Cloud Run

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis ke bucket GCS dan dipanggil oleh Pub/Sub.

Membuat akun layanan

  1. Di Konsol GCP, buka IAM & Admin > Service Accounts.
  2. Klik Create Service Account.
  3. Berikan detail konfigurasi berikut:
    • Service account name: Masukkan s1-activity-collector-sa
    • Service account description: Masukkan Service account for Cloud Run function to collect SentinelOne Activity logs
  4. Klik Create and Continue.
  5. Di bagian Grant this service account access to project, tambahkan peran berikut:
    1. Klik Pilih peran.
    2. Telusuri dan pilih Storage Object Admin.
    3. Klik + Add another role.
    4. Telusuri dan pilih Cloud Run Invoker.
    5. Klik + Add another role.
    6. Telusuri dan pilih Cloud Functions Invoker.
  6. Klik Lanjutkan.
  7. Klik Done.

Peran ini diperlukan untuk:

  • Storage Object Admin: Menulis log ke bucket GCS dan mengelola state file
  • Cloud Run Invoker: Mengizinkan Pub/Sub memanggil fungsi
  • Cloud Functions Invoker: Mengizinkan pemanggilan fungsi

Memberikan izin IAM di bucket GCS

Beri akun layanan izin tulis di bucket GCS:

  1. Buka Cloud Storage > Buckets.
  2. Klik nama bucket Anda.
  3. Buka tab Izin.
  4. Klik Grant access.
  5. Berikan detail konfigurasi berikut:
    • Tambahkan entitas: Masukkan email akun layanan (misalnya, s1-activity-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • Assign roles: Pilih Storage Object Admin
  6. Klik Simpan.

Membuat topik Pub/Sub

Buat topik Pub/Sub yang akan dipublikasikan oleh Cloud Scheduler dan di-subscribe oleh fungsi Cloud Run.

  1. Di Konsol GCP, buka Pub/Sub > Topics.
  2. Klik Create topic.
  3. Berikan detail konfigurasi berikut:
    • ID Topik: Masukkan s1-activity-trigger
    • Biarkan setelan lainnya sesuai default
  4. Klik Create.

Membuat fungsi Cloud Run untuk mengumpulkan log

Fungsi Cloud Run akan dipicu oleh pesan Pub/Sub dari Cloud Scheduler untuk mengambil log aktivitas dari REST API SentinelOne dan menulisnya ke GCS.

  1. Di Konsol GCP, buka Cloud Run.
  2. Klik Create service.
  3. Pilih Function (gunakan editor inline untuk membuat fungsi).

  4. Di bagian Configure, berikan detail konfigurasi berikut:

    Setelan Nilai
    Nama layanan s1-activity-collector
    Region Pilih region yang cocok dengan bucket GCS Anda (misalnya, us-central1)
    Runtime Pilih Python 3.12 atau yang lebih baru

  5. Di bagian Trigger (optional):

    1. Klik + Tambahkan pemicu.
    2. Pilih Cloud Pub/Sub.
    3. Di Select a Cloud Pub/Sub topic, pilih topik s1-activity-trigger.
    4. Klik Simpan.

  6. Di bagian Authentication:

    1. Pilih Wajibkan autentikasi.
    2. Periksa Identity and Access Management (IAM).

  7. Scroll ke bawah dan luaskan Containers, Networking, Security.

  8. Buka tab Keamanan:

    • Service account: Pilih akun layanan s1-activity-collector-sa

  9. Buka tab Penampung:

    1. Klik Variables & Secrets.
    2. Klik + Add variable untuk setiap variabel lingkungan:
    Nama Variabel Nilai Contoh Deskripsi
    GCS_BUCKET sentinelone-activity-logs Nama bucket GCS
    GCS_PREFIX sentinelone-activities Awalan untuk file log
    STATE_KEY sentinelone-activities/state.json Jalur file status
    S1_BASE_URL https://your-mgmt-url.sentinelone.net URL konsol pengelolaan SentinelOne
    S1_API_TOKEN your-api-token Token API SentinelOne
    PAGE_SIZE 1000 Data per halaman API (maks. 1.000)
    MAX_RECORDS 50000 Data maksimum per operasi
    LOOKBACK_HOURS 2 Periode lihat balik awal

  10. Scroll ke bawah di bagian Variables & Secrets ke Requests:

    • Waktu tunggu permintaan: Masukkan 540 detik (9 menit)

  11. Buka tab Setelan:

    • Di bagian Resources:
      • Memory: Pilih 512 MiB atau lebih tinggi
      • CPU: Pilih 1

  12. Di bagian Revision scaling:

    • Minimum number of instances: Masukkan 0
    • Maximum number of instances: Masukkan 100 (atau sesuaikan berdasarkan beban yang diharapkan)

  13. Klik Create.

  14. Tunggu hingga layanan dibuat (1-2 menit).

  15. Setelah layanan dibuat, editor kode inline akan terbuka secara otomatis.

Menambahkan kode fungsi

  1. Masukkan main di kolom Entry point.

  2. Di editor kode inline, buat dua file:

    • File pertama - main.py:

      import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=60.0),
  retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'sentinelone-activities').strip('/')
STATE_KEY = os.environ.get('STATE_KEY') or f"{GCS_PREFIX}/state.json"
S1_BASE_URL = os.environ.get('S1_BASE_URL', '').rstrip('/')
S1_API_TOKEN = os.environ.get('S1_API_TOKEN')
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '50000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '2'))

ACTIVITIES_ENDPOINT = '/web/api/v2.1/activities'

def parse_datetime(value):
  """Parse ISO datetime string to datetime object."""
  if not value:
    return None
  if value.endswith("Z"):
    value = value[:-1] + "+00:00"
  try:
    return datetime.fromisoformat(value)
  except Exception:
    try:
      return datetime.strptime(value, '%Y-%m-%dT%H:%M:%S.%f')
    except Exception:
      return None

@functions_framework.cloud_event
def main(cloud_event):
  """
  Cloud Run function triggered by Pub/Sub to fetch
  SentinelOne Activity records and write to GCS.

  Args:
    cloud_event: CloudEvent object containing Pub/Sub message
  """

  if not all([GCS_BUCKET, S1_BASE_URL, S1_API_TOKEN]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)

    # Load state
    state = load_state(bucket, STATE_KEY)

    # Determine time window
    now = datetime.now(timezone.utc)
    last_time = None

    if isinstance(state, dict) and state.get("last_event_time"):
      try:
        last_time = parse_datetime(state["last_event_time"])
        # Overlap by 2 minutes to catch delayed events
        if last_time:
          last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")

    if last_time is None:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(
      f"Fetching activity logs from "
      f"{last_time.isoformat()} to {now.isoformat()}"
    )

    # Fetch activity logs
    records, newest_event_time = fetch_activity_logs(
      start_time=last_time,
      end_time=now,
    )

    if not records:
      print("No new activity records found.")
      save_state(bucket, STATE_KEY, now.isoformat())
      return

    # Write to GCS as NDJSON
    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join(
      [json.dumps(record, ensure_ascii=False) for record in records]
    ) + '\n'
    blob.upload_from_string(
      ndjson, content_type='application/x-ndjson'
    )

    print(
      f"Wrote {len(records)} records to "
      f"gs://{GCS_BUCKET}/{object_key}"
    )

    # Update state
    if newest_event_time:
      save_state(bucket, STATE_KEY, newest_event_time)
    else:
      save_state(bucket, STATE_KEY, now.isoformat())

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing activity logs: {str(e)}')
    raise

def load_state(bucket, key):
  """Load state from GCS."""
  try:
    blob = bucket.blob(key)
    if blob.exists():
      state_data = blob.download_as_text()
      return json.loads(state_data)
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, key, last_event_time_iso):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {'last_event_time': last_event_time_iso}
    blob = bucket.blob(key)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

def fetch_activity_logs(start_time, end_time):
  """
  Fetch activity logs from SentinelOne REST API with
  cursor-based pagination.

  Args:
    start_time: Start time for log query
    end_time: End time for log query

  Returns:
    Tuple of (records list, newest_event_time ISO string)
  """
  url = f"{S1_BASE_URL}{ACTIVITIES_ENDPOINT}"
  headers = {
    'Authorization': f'ApiToken {S1_API_TOKEN}',
    'Content-Type': 'application/json',
  }

  # Format timestamps for SentinelOne API
  start_str = start_time.strftime('%Y-%m-%dT%H:%M:%S.000000Z')

  records = []
  newest_time = None
  cursor = None
  backoff = 1.0

  while True:
    if len(records) >= MAX_RECORDS:
      print(f"Reached max_records limit ({MAX_RECORDS})")
      break

    params = {
      'createdAt__gt': start_str,
      'limit': str(PAGE_SIZE),
      'sortBy': 'createdAt',
      'sortOrder': 'asc',
    }

    if cursor:
      params['cursor'] = cursor

    try:
      response = http.request(
        'GET', url,
        fields=params,
        headers=headers
      )

      # Handle rate limiting with exponential backoff
      if response.status == 429:
        retry_after = int(
          response.headers.get(
            'Retry-After', str(int(backoff))
          )
        )
        print(
          f"Rate limited (429). "
          f"Retrying after {retry_after}s..."
        )
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      # Handle token expiry
      if response.status == 401:
        print(
          "API token is invalid or expired. "
          "Generate a new token in SentinelOne console."
        )
        return records, newest_time

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return records, newest_time

      data = json.loads(response.data.decode('utf-8'))
      result = data.get('data', [])
      pagination = data.get('pagination', {})
      total_items = pagination.get('totalItems', 0)
      next_cursor = pagination.get('nextCursor')

      if not result:
        print("No more results (empty page)")
        break

      print(
        f"Retrieved {len(result)} events "
        f"(total: {total_items})"
      )
      records.extend(result)

      # Track newest event time
      for event in result:
        try:
          event_time = event.get('createdAt')
          if event_time:
            if newest_time is None:
              newest_time = event_time
            else:
              current_dt = parse_datetime(event_time)
              newest_dt = parse_datetime(newest_time)
              if (
                current_dt and newest_dt
                and current_dt > newest_dt
              ):
                newest_time = event_time
        except Exception as e:
          print(
            f"Warning: Could not parse "
            f"event time: {e}"
          )

      # Check pagination
      if not next_cursor:
        print("Reached last page")
        break

      cursor = next_cursor

    except Exception as e:
      print(f"Error fetching activity logs: {e}")
      return records, newest_time

  print(f"Retrieved {len(records)} total activity records")
  return records, newest_time

    • File kedua - requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. Klik Deploy untuk menyimpan dan men-deploy fungsi.

  4. Tunggu hingga deployment selesai (2-3 menit).

Buat tugas Cloud Scheduler

Cloud Scheduler akan memublikasikan pesan ke topik Pub/Sub secara berkala, sehingga memicu fungsi Cloud Run.

  1. Di Konsol GCP, buka Cloud Scheduler.
  2. Klik Create Job.

  3. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Nama s1-activity-collector-hourly
    Region Pilih region yang sama dengan fungsi Cloud Run
    Frekuensi 0 * * * * (setiap jam, tepat pada jamnya)
    Zona Waktu Pilih zona waktu (UTC direkomendasikan)
    Jenis target Pub/Sub
    Topik Pilih topik s1-activity-trigger
    Isi pesan {} (objek JSON kosong)

  4. Klik Create.

Opsi frekuensi jadwal

Pilih frekuensi berdasarkan volume log dan persyaratan latensi:

Frekuensi Ekspresi Cron Kasus Penggunaan
Setiap 10 menit */10 * * * * Volume tinggi, hampir real-time
Setiap jam 0 * * * * Standar (direkomendasikan)
Setiap 2 jam 0 */2 * * * Menurunkan volume

Menguji integrasi

  1. Di konsol Cloud Scheduler, temukan tugas Anda.
  2. Klik Force run untuk memicu tugas secara manual.
  3. Tunggu beberapa detik.
  4. Buka Cloud Run > Services.
  5. Klik nama fungsi s1-activity-collector.
  6. Klik tab Logs.

  7. Pastikan fungsi berhasil dieksekusi. Cari:

    Fetching activity logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Retrieved X events (total: Y)
Wrote X records to gs://sentinelone-activity-logs/sentinelone-activities/logs_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. Buka Cloud Storage > Buckets.

  9. Klik nama bucket Anda.

  10. Buka folder awalan sentinelone-activities/.

  11. Pastikan file .ndjson baru telah dibuat dengan stempel waktu saat ini.

Jika Anda melihat error di log:

  • HTTP 400: Pastikan URL konsol pengelolaan SentinelOne tidak memiliki garis miring di akhir. Pastikan parameter kueri sudah benar.
  • HTTP 401: Token API tidak valid atau sudah tidak berlaku. Buat token baru di konsol SentinelOne di bagian Settings > Users > Service Users.
  • HTTP 403: Pengguna layanan tidak memiliki izin yang memadai. Verifikasi peran dan tingkat cakupan.
  • HTTP 429: Pembatasan kapasitas - fungsi akan otomatis mencoba lagi dengan backoff eksponensial.
  • Variabel lingkungan tidak ada: Pastikan semua variabel yang diperlukan telah ditetapkan dalam konfigurasi fungsi Cloud Run.

Mengonfigurasi feed di Google SecOps untuk menyerap log Aktivitas SentinelOne

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik Tambahkan Feed Berita Baru.
  3. Klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, SentinelOne Activity Logs).
  5. Pilih Google Cloud Storage V2 sebagai Source type.
  6. Pilih Sentinelone Activity sebagai Log type.

  7. Klik Get Service Account. Email akun layanan yang unik akan ditampilkan, misalnya:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Salin alamat email ini untuk digunakan di langkah berikutnya.

  9. Klik Berikutnya.

  10. Tentukan nilai untuk parameter input berikut:

    • Storage bucket URL: Masukkan URI bucket GCS dengan jalur awalan:

      gs://sentinelone-activity-logs/sentinelone-activities/
      • Ganti:
        • sentinelone-activity-logs: Nama bucket GCS Anda.
        • sentinelone-activities: Jalur awalan/folder opsional tempat log disimpan (biarkan kosong untuk root).

    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:

      • Never: Tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk pengujian).
      • Delete transferred files: Menghapus file setelah transfer berhasil.
      • Delete transferred files and empty directories: Menghapus file dan direktori kosong setelah transfer berhasil.

    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180 hari)

    • Namespace aset: Namespace aset

    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini

  11. Klik Berikutnya.

  12. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Memberikan izin IAM ke akun layanan Google SecOps

Akun layanan Google SecOps memerlukan peran Storage Object Viewer di bucket GCS Anda.

  1. Buka Cloud Storage > Buckets.
  2. Klik nama bucket Anda.
  3. Buka tab Izin.
  4. Klik Grant access.
  5. Berikan detail konfigurasi berikut:
    • Add principals: Tempel email akun layanan Google SecOps
    • Assign roles: Pilih Storage Object Viewer

  6. Klik Simpan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
deviceNtDomain about.administrative_domain Diganti namanya/dipetakan
deviceExternalId about.asset.asset_id Dipetakan secara langsung
device_product about.asset.asset_id Dipetakan secara langsung
device_vendor about.asset.asset_id Dipetakan secara langsung
fileHash about.file.full_path Dipetakan secara langsung
filePath about.file.full_path Diganti namanya/dipetakan
_hash about.file.sha256 Diganti namanya/dipetakan
fileHash about.file.sha256 Diganti namanya/dipetakan
fsize about.file.size Diganti namanya/dipetakan
dvchost about.hostname Diganti namanya/dipetakan
ips about.ip Digabung
dvc_mac about.mac Dipetakan: slot → mac_address
dvcmac about.mac Digabung
mac_address about.mac Digabung
deviceTranslatedAddress about.nat_ip Digabung
Emne about.process.command_line Dipetakan secara langsung
Path about.process.command_line Dipetakan secara langsung
Subject about.process.command_line Dipetakan secara langsung
deviceProcessName about.process.command_line Diganti namanya/dipetakan
dvcpid about.process.pid Diganti namanya/dipetakan
permissions about.resource.attribute.permissions Digabung
additional_cfp1 additional.fields Digabung
additional_cfp2 additional.fields Digabung
additional_cfp3 additional.fields Digabung
additional_cfp4 additional.fields Digabung
additional_cn1 additional.fields Digabung
additional_cn2 additional.fields Digabung
additional_cn3 additional.fields Digabung
additional_cs1 additional.fields Digabung
additional_cs2 additional.fields Digabung
additional_cs3 additional.fields Digabung
additional_cs4 additional.fields Digabung
additional_cs5 additional.fields Digabung
additional_cs6 additional.fields Digabung
additional_cs7 additional.fields Digabung
additional_devicePayloadId additional.fields Digabung
additional_eventId additional.fields Digabung
additional_flexString1 additional.fields Digabung
additional_fname additional.fields Digabung
cs2 additional.fields Dipetakan: arc_test → additional_cs2
cs5_label additional.fields Digabung
source_type_label additional.fields Digabung
has_user extensions.auth.type Dipetakan: true → AUTHTYPE_UNSPECIFIED
event_name metadata.description Dipetakan secara langsung
msg metadata.description Diganti namanya/dipetakan
primaryDescription metadata.description Dipetakan secara langsung
Generated metadata.event_timestamp Diurai sebagai yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Diurai sebagai yyyy-MM-ddTHH:mm:ss
createdAt metadata.event_timestamp Diurai sebagai ISO8601
rt metadata.event_timestamp Diurai sebagai (EEE,ddMMMyyyy,HH:mm:ss)
updatedAt metadata.event_timestamp Diurai sebagai ISO8601
event_name metadata.event_type Dipetakan: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_principal metadata.event_type Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user metadata.event_type Dipetakan: true → USER_LOGIN
activityType metadata.product_event_type Dipetakan secara langsung
device_event_class_id metadata.product_event_type Dipetakan secara langsung
event_name metadata.product_event_type Dipetakan secara langsung
activityID metadata.product_log_id Dipetakan secara langsung
activityUuid metadata.product_log_id Dipetakan secara langsung
externalId metadata.product_log_id Dipetakan secara langsung
device_product metadata.product_name Dipetakan secara langsung
device_version metadata.product_version Dipetakan secara langsung
device_vendor metadata.vendor_name Diganti namanya/dipetakan
app_protocol_output network.application_protocol Dipetakan secara langsung
deviceDirection network.direction Dipetakan: 0 → INBOUND, 1 → OUTBOUND
requestMethod network.http.method Diganti namanya/dipetakan
requestClientApplication network.http.user_agent Diganti namanya/dipetakan
ip_protocol_out network.ip_protocol Dipetakan secara langsung
in network.received_bytes Diganti namanya/dipetakan
out network.sent_bytes Diganti namanya/dipetakan
sntdom principal.administrative_domain Diganti namanya/dipetakan
sourceServiceName principal.application Diganti namanya/dipetakan
data.ipAddress principal.asset.ip Digabung
Group_name principal.group.group_display_name Dipetakan secara langsung
Gruppenavn principal.group.group_display_name Dipetakan secara langsung
Device_name principal.hostname Dipetakan secara langsung
Enhetsnavn principal.hostname Dipetakan secara langsung
shost principal.hostname Diganti namanya/dipetakan
data.ipAddress principal.ip Digabung
principal_ip principal.ip Digabung
shost principal.ip Digabung
mac principal.mac Digabung
sourceTranslatedAddress principal.nat_ip Digabung
sourceTranslatedPort principal.nat_port Diganti namanya/dipetakan
spt principal.port Diganti namanya/dipetakan
data.sourceprocesscommandline principal.process.command_line Dipetakan secara langsung
sproc principal.process.command_line Diganti namanya/dipetakan
data.sourceprocessname principal.process.file.names Digabung
spid principal.process.pid Diganti namanya/dipetakan
principal_role principal.user.attribute.roles Digabung
suser principal.user.user_display_name Dipetakan secara langsung
suid principal.user.userid Diganti namanya/dipetakan
sec_result security_result Digabung
_action security_result.action Digabung
act security_result.action Dipetakan: accept → _action, deny → _action
Action_Taken security_result.action_details Dipetakan secara langsung
act security_result.action_details Dipetakan secara langsung
cat security_result.category_details Digabung
Scan_Type security_result.description Dipetakan secara langsung
Type security_result.description Dipetakan secara langsung
msg_data_2 security_result.description Dipetakan secara langsung
infection_channel_label security_result.detection_fields Digabung
operasjon_label security_result.detection_fields Digabung
operation_label security_result.detection_fields Digabung
permission_label security_result.detection_fields Digabung
spyware_Grayware_Type_label security_result.detection_fields Digabung
threat_probability_label security_result.detection_fields Digabung
tillatelse_label security_result.detection_fields Digabung
mwProfile security_result.rule_name Dipetakan secara langsung
severity security_result.severity Dipetakan: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
Result security_result.summary Dipetakan secara langsung
appcategory security_result.summary Dipetakan secara langsung
reason security_result.summary Diganti namanya/dipetakan
Spyware security_result.threat_name Dipetakan secara langsung
Unknown_Threat security_result.threat_name Dipetakan secara langsung
Virus_Malware_Name security_result.threat_name Dipetakan secara langsung
oldFilePath src.file.full_path Diganti namanya/dipetakan
oldFileSize src.file.size Diganti namanya/dipetakan
old_permissions src.resource.attribute.permissions Digabung
dntdom target.administrative_domain Diganti namanya/dipetakan
destinationServiceName target.application Diganti namanya/dipetakan
agentId target.asset.asset_id Dipetakan secara langsung
data.computerName target.asset.hostname Dipetakan secara langsung
data.newGroupName target.group.group_display_name Dipetakan secara langsung
data.newGroupId target.group.product_object_id Dipetakan secara langsung
data.computerName target.hostname Dipetakan secara langsung
temp_dhost target.hostname Dipetakan secara langsung
IPv6_Address target.ip Digabung
dst_ip target.ip Digabung
ipv6 target.ip Dipetakan: - → IPv6_Address
data.siteName target.location.name Dipetakan secara langsung
siteName target.location.name Dipetakan secara langsung
mac_address target.mac Digabung
accountName target.namespace Dipetakan secara langsung
destination_translated_address target.nat_ip Digabung
destinationTranslatedPort target.nat_port Diganti namanya/dipetakan
dpt target.port Diganti namanya/dipetakan
dproc target.process.command_line Diganti namanya/dipetakan
File_name target.process.file.full_path Dipetakan secara langsung
Infected_Resource target.process.file.full_path Dipetakan secara langsung
Object target.process.file.full_path Dipetakan secara langsung
Objekt target.process.file.full_path Dipetakan secara langsung
dpid target.process.pid Diganti namanya/dipetakan
full_scope_details_label target.resource.attribute.labels Digabung
notification_scope_label target.resource.attribute.labels Digabung
resource_Type_label target.resource.attribute.labels Digabung
scope_level_label target.resource.attribute.labels Digabung
site_id_label target.resource.attribute.labels Digabung
vendor_activity_id_label target.resource.attribute.labels Digabung
request target.url Dipetakan secara langsung
target_role target.user.attribute.roles Digabung
CustomerName target.user.user_display_name Dipetakan secara langsung
data.accountName target.user.user_display_name Dipetakan secara langsung
temp_duser target.user.user_display_name Dipetakan secara langsung
Bruker target.user.userid Dipetakan secara langsung
User_value target.user.userid Dipetakan secara langsung
accountId target.user.userid Dipetakan secara langsung
temp_duid target.user.userid Dipetakan secara langsung
T/A extensions.auth.type Konstanta: AUTHTYPE_UNSPECIFIED
T/A metadata.event_type Konstanta: PROCESS_UNCATEGORIZED
T/A metadata.vendor_name Konstanta: SentinelOne
T/A network.direction Konstanta: INBOUND
T/A security_result.severity Konstanta: LOW
createdAt event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
updatedAt event.idm.read_only_udm.security_result.last_updated_time Dipetakan dari log perubahan
activityUuid event.idm.read_only_udm.metadata.product_log_id Dipetakan dari log perubahan
activityID event.idm.read_only_udm.metadata.product_log_id Dipetakan dari log perubahan
primaryDescription event.idm.read_only_udm.metadata.description Dipetakan dari log perubahan
rt event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
activityType event.idm.read_only_udm.metadata.product_event_type Dipetakan dari log perubahan
device_product event.idm.read_only_udm.metadata.product_name Dipetakan dari log perubahan
data.ipAddress event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
data.ipAddress event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
data.sourceprocesscommandline event.idm.read_only_udm.principal.process.command_line Dipetakan dari log perubahan
data.sourceprocessname event.idm.read_only_udm.principal.process.file.names Dipetakan dari log perubahan
agentId event.idm.read_only_udm.target.asset.asset_id Dipetakan dari log perubahan
data.computerName event.idm.read_only_udm.target.hostname Dipetakan dari log perubahan
data.computerName event.idm.read_only_udm.target.asset.hostname Dipetakan dari log perubahan
accountName event.idm.read_only_udm.target.namespace Dipetakan dari log perubahan
siteName, event.idm.read_only_udm.target.location.name Dipetakan dari log perubahan
accountId event.idm.read_only_udm.target.user.userid Dipetakan dari log perubahan
data.accountName event.idm.read_only_udm.target.user.user_display_name Dipetakan dari log perubahan
data.newGroupId event.idm.read_only_udm.target.group.product_object_id Dipetakan dari log perubahan
data.newGroupName event.idm.read_only_udm.target.group.group_display_name Dipetakan dari log perubahan
data.sourceType event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
data.alertid event.idm.read_only_udm.security_result.rule_id Dipetakan dari log perubahan
data.ruledescription event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
data.oldGroupName event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
data.oldGroupId event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
data.newGroupId event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
data.newGroupName event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
data.fullScopeDetails event.idm.read_only_udm.security_result.description Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.