‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של TeamViewer

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של TeamViewer ב-Google Security Operations באמצעות Google Cloud Storage. הכלי לניתוח מחלץ את אירועי הביקורת מיומנים בפורמט JSON. היא מבצעת איטרציה על פרטי האירוע, ממפה מאפיינים ספציפיים לשדות של מודל הנתונים המאוחד (UDM), מטפלת במידע על המשתתפים והמציגים ומסווגת אירועים על סמך פעילות המשתמש. הכלי לניתוח גם מבצע טרנספורמציות של נתונים, כמו מיזוג תוויות והמרה של חותמות זמן לפורמט סטנדרטי.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

מופע של Google SecOps
פרויקט ב- Google Cloud עם Cloud Storage API מופעל
הרשאות ליצירה ולניהול של קטגוריות ב-Cloud Storage
הרשאות לניהול מדיניות IAM בדליים של Cloud Storage
הרשאות ליצירת שירותי Cloud Run, נושאי Pub/Sub ומשימות Cloud Scheduler
גישה עם הרשאות למסוף הניהול של TeamViewer
רישיון ל-TeamViewer Business,‏ Premium,‏ Corporate או Tensor (נדרש לגישה ל-API)

יצירת קטגוריה של Google Cloud Storage

נכנסים אל מסוף Google Cloud.
בוחרים פרויקט או יוצרים פרויקט חדש.
בתפריט הניווט, עוברים אל Cloud Storage > Buckets.
לוחצים על Create bucket.

מספקים את פרטי ההגדרה הבאים:

הגדרה	ערך
Name your bucket (שם הקטגוריה)	מזינים שם ייחודי גלובלית (לדוגמה, `teamviewer-logs`)
סוג המיקום	בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
Location	בוחרים את המיקום (לדוגמה, `us-central1`).
סוג אחסון (storage class)	רגיל (מומלץ ליומנים שמתבצעת אליהם גישה לעיתים קרובות)
בקרת גישה	אחיד (מומלץ)
כלים להגנה	אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

לוחצים על יצירה.

דרישות מוקדמות ל-TeamViewer

נכנסים אל TeamViewer Management Console בכתובת https://login.teamviewer.com/.
לוחצים על סמל המשתמש בפינה השמאלית העליונה ובוחרים באפשרות עריכת הפרופיל.
בוחרים באפשרות אפליקציות.
לוחצים על יצירת אסימון סקריפט.
מספקים את פרטי ההגדרה הבאים:
- שם הטוקן: מזינים שם תיאורי (לדוגמה, Google SecOps Integration).
- הרשאות: בוחרים את ההרשאות הבאות:
  - ניהול החשבון > הצגת נתוני החשבון
  - ניהול סשנים > הצגת נתוני סשנים
  - דיווח על חיבורים > הצגת דוחות על חיבורים
לוחצים על יצירה.
מעתיקים את אסימון הסקריפט שנוצר ושומרים אותו במקום מאובטח.

הערה: אסימון הסקריפט יוצג רק פעם אחת. אם מאבדים אותו, צריך ליצור אסימון חדש. אסימון הסקריפט צריך לכלול את הרשאת הדיווח על קישורים שמתאימה להיקף ההרשאות Connections.Read שנדרש על ידי /api/v1/EventLogging.
רושמים את כתובת הבסיס של TeamViewer API: https://webapi.teamviewer.com/api/v1

אימות ההרשאות

כדי לוודא שיש לחשבון את ההרשאות הנדרשות:

נכנסים ל-TeamViewer Management Console.
עוברים אל עריכת הפרופיל > אפליקציות.
מאתרים את טוקן הסקריפט ברשימה.
מוודאים שהאפשרות דיווח על חיבורים > הצגת דוחות על חיבורים מופעלת.
אם ההרשאה הזו לא מופעלת, עורכים את האסימון ומוסיפים את ההרשאה הנדרשת.

בדיקת הגישה ל-API

לפני שממשיכים בשילוב, חשוב לבדוק את פרטי הכניסה:

# Replace with your actual script token
SCRIPT_TOKEN="your-script-token"
API_BASE="https://webapi.teamviewer.com/api/v1"

# Test API access
curl -v -X POST -H "Authorization: Bearer ${SCRIPT_TOKEN}" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json" \
  -d '{"StartDate": "2024-01-01T00:00:00Z", "EndDate": "2024-01-01T01:00:00Z"}' \
  "${API_BASE}/EventLogging"

אם מקבלים תגובה 200 עם נתוני JSON, סימן שההרשאות מוגדרות בצורה נכונה.

יצירת חשבון שירות לפונקציית Cloud Run

פונקציית Cloud Run צריכה חשבון שירות עם הרשאות כתיבה לקטגוריה של Cloud Storage והרשאות הפעלה על ידי Pub/Sub.

יצירת חשבון השירות

במסוףGoogle Cloud , נכנסים אל IAM & Admin > Service Accounts.
לוחצים על יצירת חשבון שירות.
מספקים את פרטי ההגדרה הבאים:
- שם חשבון השירות: מזינים teamviewer-collector-sa.
- תיאור חשבון השירות: מזינים Service account for Cloud Run function to collect TeamViewer logs.
לוחצים על יצירה והמשך.
בקטע Grant this service account access to project (מתן גישה של חשבון השירות הזה לפרויקט), מוסיפים את התפקידים הבאים:
1. לוחצים על בחירת תפקיד.
2. מחפשים את Storage Object Admin ולוחצים עליו.
3. לוחצים על + הוספת תפקיד נוסף.
4. מחפשים את האפשרות Cloud Run Invoker (הפעלת שירותים ב-Cloud Run) ולוחצים עליה.
5. לוחצים על + הוספת תפקיד נוסף.
6. מחפשים את האפשרות Cloud Functions Invoker (הפעלת פונקציות של Cloud Functions) ולוחצים עליה.
לוחצים על Continue.
לוחצים על סיום.

התפקידים האלה נדרשים כדי:

‫Storage Object Admin: כתיבת יומנים לקטגוריה של Cloud Storage וניהול קובצי מצב
‫Cloud Run Invoker: מתן הרשאה ל-Pub/Sub להפעיל את הפונקציה
Cloud Functions Invoker: מאפשר הפעלה של פונקציות

הענקת הרשאות IAM בקטגוריית Cloud Storage

נותנים לחשבון השירות הרשאות כתיבה בקטגוריה של Cloud Storage:

עוברים אל Cloud Storage > Buckets (קטגוריות).
לוחצים על שם הקטגוריה (לדוגמה, teamviewer-logs).
עוברים לכרטיסייה Permissions.
לוחצים על הענקת גישה.
מספקים את פרטי ההגדרה הבאים:
- Add principals (הוספת ישויות מורשות): מזינים את כתובת האימייל בחשבון השירות (לדוגמה, teamviewer-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
- הקצאת תפקידים: בוחרים באפשרות אדמין של אובייקטים באחסון.
לוחצים על Save.

יוצרים נושא Pub/Sub

יוצרים נושא Pub/Sub ש-Cloud Scheduler יפרסם בו ופונקציית Cloud Run תירשם אליו.

במסוףGoogle Cloud , עוברים אל Pub/Sub > Topics.
לוחצים על יצירת נושא.
מספקים את פרטי ההגדרה הבאים:
- מזהה הנושא: מזינים teamviewer-logs-trigger.
- משאירים את שאר ההגדרות כברירת מחדל.
לוחצים על יצירה.

יצירת פונקציית Cloud Run לאיסוף יומנים

הפונקציה של Cloud Run מופעלת על ידי הודעות Pub/Sub מ-Cloud Scheduler כדי לאחזר יומנים מ-TeamViewer API ולכתוב אותם ב-Cloud Storage.

במסוףGoogle Cloud , עוברים אל Cloud Run.
לוחצים על יצירת שירות.
בוחרים באפשרות Function (שימוש בעורך ישיר ליצירת פונקציה).

בקטע Configure (הגדרה), מזינים את פרטי ההגדרה הבאים:

הגדרה	ערך
שם השירות	`teamviewer-logs-collector`
אזור	בוחרים אזור שמתאים לקטגוריה של Cloud Storage (לדוגמה, `us-central1`)
זמן ריצה	בוחרים באפשרות Python 3.12 ואילך.

בקטע טריגר (אופציונלי):
1. לוחצים על + הוספת טריגר.
2. בוחרים באפשרות Cloud Pub/Sub.
3. בקטע Select a Cloud Pub/Sub topic, בוחרים את הנושא ב-Pub/Sub ‏ (teamviewer-logs-trigger).
4. לוחצים על Save.
בקטע Authentication:
1. בוחרים באפשרות דרישת אימות.
2. בודקים את ניהול זהויות והרשאות גישה (IAM).
הערה: מערכת Pub/Sub מטפלת באימות באופן אוטומטי כשמפעילים את הפונקציה.
עוברים אל Containers, Networking, Security ומרחיבים אותו.
עוברים לכרטיסייה אבטחה:
- חשבון שירות: בוחרים את חשבון השירות (teamviewer-collector-sa).

עוברים לכרטיסייה מאגרי תגים:

לוחצים על Variables & Secrets (משתנים וסודות).
לוחצים על + הוספת משתנה לכל משתנה סביבתי:

שם המשתנה	ערך לדוגמה
`GCS_BUCKET`	`teamviewer-logs`
`GCS_PREFIX`	`teamviewer/audit/`
`STATE_KEY`	`teamviewer/audit/state.json`
`WINDOW_SECONDS`	`3600`
`HTTP_TIMEOUT`	`60`
`MAX_RETRIES`	`3`
`USER_AGENT`	`teamviewer-to-gcs/1.0`
`SCRIPT_TOKEN`	`your-script-token` (מתוך הדרישות המוקדמות של TeamViewer)
`API_BASE_URL`	`https://webapi.teamviewer.com/api/v1`

בקטע Variables & Secrets (משתנים וסודות), עוברים אל Requests (בקשות):
- זמן קצוב לתפוגת בקשה: מזינים 600 שניות (10 דקות).
עוברים לכרטיסייה הגדרות:
- בקטע Resources (מקורות מידע):
  - זיכרון: בוחרים באפשרות ‎512 MiB או יותר.
  - מעבד: בוחרים באפשרות 1.
בקטע שינוי קנה מידה של העריכה:
- מספר המינימום של מופעים: מזינים 0.
- מספר מקסימלי של מופעים: מזינים 100 (או משנים בהתאם לעומס הצפוי).
לוחצים על יצירה.
ממתינים ליצירת השירות (1-2 דקות).
אחרי שיוצרים את השירות, עורך הקוד המוטבע נפתח באופן אוטומטי.

הוספת קוד הפונקציה

מזינים main בFunction entry point

בעורך הקוד המוטבע, יוצרים שני קבצים:

הקובץ הראשון: main.py:

import functions_framework
from google.cloud import storage
import json
import os
import urllib.request
import urllib.parse
import urllib.error
from datetime import datetime, timezone
import time
import uuid

# Initialize Storage client
storage_client = storage.Client()

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub to fetch TeamViewer audit logs and write to GCS.

    Args:
        cloud_event: CloudEvent object containing Pub/Sub message
    """

    # Get environment variables
    bucket_name = os.environ.get('GCS_BUCKET')
    prefix = os.environ.get('GCS_PREFIX', 'teamviewer/audit/')
    state_key = os.environ.get('STATE_KEY', 'teamviewer/audit/state.json')
    window_sec = int(os.environ.get('WINDOW_SECONDS', '3600'))
    http_timeout = int(os.environ.get('HTTP_TIMEOUT', '60'))
    max_retries = int(os.environ.get('MAX_RETRIES', '3'))
    user_agent = os.environ.get('USER_AGENT', 'teamviewer-to-gcs/1.0')

    # TeamViewer API credentials
    api_base_url = os.environ.get('API_BASE_URL')
    script_token = os.environ.get('SCRIPT_TOKEN')

    if not all([bucket_name, api_base_url, script_token]):
        print('Error: Missing required environment variables')
        return

    try:
        # Get GCS bucket
        bucket = storage_client.bucket(bucket_name)

        # Load state (last processed timestamp)
        state = load_state(bucket, state_key)
        now = time.time()
        from_ts = float(state.get('last_to_ts') or (now - window_sec))
        to_ts = now

        print(f'Fetching TeamViewer audit data from {iso_format(from_ts)} to {iso_format(to_ts)}')

        # Build audit API URL
        url = build_audit_url(api_base_url)

        print(f'Fetching TeamViewer audit data from: {url}')

        # Fetch audit data with retries and pagination
        all_records = []
        continuation_token = None

        # Inside main() loop:
        while True:
            blob_data, content_type, next_token = fetch_audit_data(
                url, script_token, user_agent, http_timeout, max_retries, from_ts, to_ts, continuation_token
            )

            # Validate JSON data
            try:
                audit_data = json.loads(blob_data)
                records = audit_data.get('AuditEvents', [])
                all_records.extend(records)
                print(f"Retrieved {len(records)} audit records (total: {len(all_records)})")

                # Check for pagination
                if next_token:
                    continuation_token = next_token
                    print(f"Fetching next page with ContinuationToken: {continuation_token}")
                else:
                    break

            except json.JSONDecodeError as e:
                print(f"Warning: Invalid JSON received: {e}")
                break

        if all_records:
            # Write to GCS
            key = put_audit_data(bucket, prefix, json.dumps({'AuditEvents': all_records}), 
                'application/json', from_ts, to_ts)
            print(f'Successfully wrote {len(all_records)} audit records to {key}')
        else:
            print('No audit records found')

        # Update state
        state['last_to_ts'] = to_ts
        state['last_successful_run'] = now
        save_state(bucket, state_key, state)

    except Exception as e:
        print(f'Error processing TeamViewer logs: {str(e)}')
        raise

def load_state(bucket, key):
    """Load state from GCS."""
    try:
        blob = bucket.blob(key)
        if blob.exists():
            state_data = blob.download_as_text()
            return json.loads(state_data)
    except Exception as e:
        print(f'Warning: Could not load state: {str(e)}')
    return {}

def save_state(bucket, key, state):
    """Save state to GCS."""
    try:
        blob = bucket.blob(key)
        blob.upload_from_string(
            json.dumps(state, separators=(',', ':')),
            content_type='application/json'
        )
    except Exception as e:
        print(f'Warning: Could not save state: {str(e)}')

def iso_format(ts):
    """Convert Unix timestamp to ISO 8601 format."""
    return time.strftime('%Y-%m-%dT%H:%M:%SZ', time.gmtime(ts))

def build_audit_url(api_base_url):
    """Build URL for TeamViewer audit API endpoint."""
    return f"{api_base_url.rstrip('/')}/EventLogging"

def fetch_audit_data(url, script_token, user_agent, http_timeout, max_retries, from_ts, to_ts, continuation_token=None):
    """Fetch audit data from TeamViewer API with retries and pagination support."""

    # Construct JSON payload
    payload = {
        "StartDate": iso_format(from_ts),
        "EndDate": iso_format(to_ts)
    }
    if continuation_token:
        payload["ContinuationToken"] = continuation_token

    attempt = 0
    while True:
        req = urllib.request.Request(url, method='POST')
        req.add_header('User-Agent', user_agent)
        req.add_header('Authorization', f'Bearer {script_token}')
        req.add_header('Content-Type', 'application/json')
        req.add_header('Accept', 'application/json')

        # Encode payload as bytes for POST body
        data = json.dumps(payload).encode('utf-8')

        try:
            with urllib.request.urlopen(req, data=data, timeout=http_timeout) as r:
                response_data = r.read()
                content_type = r.headers.get('Content-Type') or 'application/json'

                try:
                    data = json.loads(response_data)
                    next_token = data.get('ContinuationToken')
                except:
                    next_token = None

                return response_data, content_type, next_token

        except urllib.error.HTTPError as e:
            if e.code == 429:
                attempt += 1
                print(f'Rate limited (429) on attempt {attempt}')
                if attempt > max_retries:
                    raise
                time.sleep(min(60, 2 ** attempt) + (time.time() % 1))
            else:
                print(f'HTTP error {e.code}: {e.reason}')
                raise
        except urllib.error.URLError as e:
            attempt += 1
            print(f'URL error on attempt {attempt}: {e}')
            if attempt > max_retries:
                raise
            time.sleep(min(60, 2 ** attempt) + (time.time() % 1))

def put_audit_data(bucket, prefix, blob_data, content_type, from_ts, to_ts):
    """Write audit data to GCS."""
    ts_path = time.strftime('%Y/%m/%d', time.gmtime(to_ts))
    uniq = f"{int(time.time() * 1e6)}_{uuid.uuid4().hex[:8]}"
    key = f"{prefix}{ts_path}/teamviewer_audit_{int(from_ts)}_{int(to_ts)}_{uniq}.json"

    blob = bucket.blob(key)
    blob.metadata = {
        'source': 'teamviewer-audit',
        'from_timestamp': str(int(from_ts)),
        'to_timestamp': str(int(to_ts))
    }
    blob.upload_from_string(blob_data, content_type=content_type)

    return key

הקובץ השני: requirements.txt:

functions-framework==3.*
google-cloud-storage==2.*

לוחצים על Deploy כדי לשמור ולפרוס את הפונקציה.
ממתינים לסיום הפריסה (2-3 דקות).

הערה: נקודת הקצה /api/v1/EventLogging מוגבלת ל-50 רשומות לכל קריאה. ההטמעה קוראת את ContinuationToken מהתגובה וחוזרת על הפעולה עד לאחזור כל הרשומות.

יצירת משימה ב-Cloud Scheduler

‫Cloud Scheduler מפרסם הודעות בנושא Pub/Sub במרווחי זמן קבועים, וכך מפעיל את הפונקציה של Cloud Run.

במסוףGoogle Cloud , עוברים אל Cloud Scheduler.
לוחצים על Create Job (יצירת משימה).

מספקים את פרטי ההגדרה הבאים:

הגדרה	ערך
שם	`teamviewer-logs-collector-hourly`
אזור	בחירה באותו אזור כמו פונקציית Cloud Run
תדירות	‫`0 * * * *` (כל שעה, בדיוק בשעה)
אזור זמן	בחירת אזור זמן (מומלץ לבחור UTC)
סוג הטירגוט	Pub/Sub
נושא	בוחרים את נושא Pub/Sub (`teamviewer-logs-trigger`).
גוף ההודעה	‫`{}` (אובייקט JSON ריק)

לוחצים על יצירה.

אפשרויות לתדירות התזמון

בחירת התדירות בהתאם לנפח היומן ולדרישות זמן האחזור:

תדירות	ביטוי Cron	תרחיש לדוגמה
כל 5 דקות	`/5 * * *`	נפח גבוה, זמן אחזור נמוך
כל 15 דקות	`/15 * * *`	נפח חיפושים בינוני
כל שעה	`0 * * * *`	רגיל (מומלץ)
כל 6 שעות	`0 /6 * *`	נפח נמוך, עיבוד באצווה
יומי	`0 0 * * *`	איסוף נתונים היסטוריים

בדיקת השילוב

במסוף Cloud Scheduler, מאתרים את המשימה (teamviewer-logs-collector-hourly).
לוחצים על הפעלת המשימה בכוח כדי להפעיל את המשימה באופן ידני.
מחכים כמה שניות.
עוברים אל Cloud Run > Services.
לוחצים על שם הפונקציה (teamviewer-logs-collector).
לוחצים על הכרטיסייה Logs (יומנים).

מוודאים שהפונקציה בוצעה בהצלחה. מחפשים את הדברים הבאים:

Fetching TeamViewer audit data from YYYY-MM-DDTHH:MM:SSZ to YYYY-MM-DDTHH:MM:SSZ
Retrieved X audit records (total: X)
Successfully wrote X audit records to teamviewer/audit/YYYY/MM/DD/teamviewer_audit_...json

עוברים אל Cloud Storage > Buckets (קטגוריות).
לוחצים על שם הקטגוריה (teamviewer-logs).
עוברים לתיקייה עם הקידומת (teamviewer/audit/).
מוודאים שנוצר קובץ .json חדש עם חותמת הזמן הנוכחית.

אם מופיעות שגיאות ביומנים:

‫HTTP 401: צריך לוודא שמשתנה הסביבה SCRIPT_TOKEN תואם לטוקן הסקריפט של TeamViewer
‫HTTP 403: מוודאים שלאסימון הסקריפט יש הרשאה של דיווח על קישור > צפייה בדוחות על קישור
HTTP 429: הגבלת קצב – הפונקציה תנסה שוב באופן אוטומטי עם השהיה מעריכית לפני ניסיון חוזר (exponential backoff)
משתני סביבה חסרים: צריך לוודא שכל המשתנים הנדרשים (GCS_BUCKET, API_BASE_URL, SCRIPT_TOKEN) מוגדרים

אחזור חשבון השירות של Google SecOps

‫Google SecOps משתמש בחשבון שירות ייחודי כדי לקרוא נתונים מהקטגוריה שלכם ב-Cloud Storage. צריך להעניק לחשבון השירות הזה גישה לדלי.

קבלת כתובת האימייל בחשבון השירות

עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
לוחצים על הוספת פיד חדש.
לוחצים על Configure a single feed (הגדרת פיד יחיד).
בשדה שם הפיד, מזינים שם לפיד (לדוגמה, TeamViewer logs).
בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
בוחרים באפשרות TeamViewer בתור סוג היומן.
לוחצים על קבלת חשבון שירות. מוצגת כתובת אימייל ייחודית של חשבון השירות, לדוגמה:
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
מעתיקים את כתובת האימייל הזו לשימוש בשלב הבא.

הערה: לכל מופע של Google SecOps יש חשבון שירות ייחודי. אל תשתמשו בחשבונות שירות ממסמכים או מדוגמאות אחרים.

הענקת הרשאות IAM לחשבון השירות של Google SecOps

לחשבון השירות של Google SecOps צריך להיות התפקיד צפייה באובייקט אחסון בקטגוריה של Cloud Storage.

עוברים אל Cloud Storage > Buckets (קטגוריות).
לוחצים על שם הקטגוריה (teamviewer-logs).
עוברים לכרטיסייה Permissions.
לוחצים על הענקת גישה.
מספקים את פרטי ההגדרה הבאים:
- Add principals (הוספת ישויות מורשות): מדביקים את כתובת האימייל בחשבון של חשבון השירות של Google SecOps.
- הקצאת תפקידים: בוחרים באפשרות צפייה באובייקט אחסון.
לוחצים על Save.

הערה: אם אתם מתכננים להשתמש באפשרות המחיקה 'מחיקת קבצים שהועברו' או 'מחיקת קבצים שהועברו וספריות ריקות', צריך להעניק את התפקיד Storage Object Admin במקום Storage Object Viewer.

הגדרה של פיד ב-Google SecOps להטמעה של יומנים מ-TeamViewer

עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
לוחצים על הוספת פיד חדש.
לוחצים על Configure a single feed (הגדרת פיד יחיד).
בשדה שם הפיד, מזינים שם לפיד (לדוגמה, TeamViewer logs).
בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
בוחרים באפשרות TeamViewer בתור סוג היומן.
לוחצים על הבא.
מציינים ערכים לפרמטרים הבאים של הקלט:
- ‫URL של קטגוריה של Cloud Storage: מזינים את ה-URI של קטגוריה של Cloud Storage עם נתיב הקידומת:
```
gs://teamviewer-logs/teamviewer/audit/
```
  - מחליפים את:
    - ‫teamviewer-logs: שם הקטגוריה שלכם ב-Cloud Storage.
    - ‫teamviewer/audit/: קידומת או נתיב שבהם נשמרים היומנים.
  הערה: תמיד צריך לכלול את התו '/' בסוף ה-URI.
- אפשרות למחיקת המקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם:
  - אף פעם: לא נמחקים קבצים אחרי ההעברה (מומלץ לבדיקות).
  - מחיקת קבצים שהועברו: הקבצים נמחקים אחרי שההעברה מסתיימת.
  - מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת בהצלחה.
    
    הערה: אם בוחרים באפשרות מחיקה, לחשבון השירות צריך להיות התפקיד Storage Object Admin ולא Storage Object Viewer. מעדכנים את ההרשאות ב-IAM בהתאם.
- הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
- מרחב השמות של הנכס: מרחב השמות של הנכס.
- תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.
לוחצים על הבא.
בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
AffectedItem	metadata.product_log_id	הערך של AffectedItem מיומן הגולמי ממופה ישירות לשדה הזה ב-UDM.
EventDetails.NewValue	principal.resource.attribute.labels.value	אם PropertyName מכיל (server), הערך NewValue משמש כערך של תווית ב-principal.resource.attribute.labels.
EventDetails.NewValue	principal.user.user_display_name	אם PropertyName הוא Name of participant (שם המשתתף), הערך NewValue משמש כשם המוצג של המשתמש עבור הגורם המרכזי.
EventDetails.NewValue	principal.user.userid	אם PropertyName הוא מזהה המשתתף, הערך NewValue משמש כמזהה המשתמש של הגורם הראשי.
EventDetails.NewValue	security_result.about.labels.value	לכל שאר הערכים של PropertyName (חוץ מאלה שמטופלים על ידי תנאים ספציפיים), הערך של NewValue משמש כערך של תווית במערך labels ב-security_result.about.
EventDetails.NewValue	target.file.full_path	אם PropertyName הוא קובץ המקור, הערך NewValue משמש כנתיב המלא של קובץ היעד.
EventDetails.NewValue	target.resource.attribute.labels.value	אם PropertyName מכיל (client), הערך NewValue משמש כערך של תווית ב-target.resource.attribute.labels.
EventDetails.NewValue	target.user.user_display_name	אם PropertyName הוא Name of presenter, הערך NewValue מנותח. אם מדובר במספר שלם, הוא מושמט. אחרת, הוא משמש כשם המשתמש המוצג ליעד.
EventDetails.NewValue	target.user.userid	אם PropertyName הוא מזהה המציג, הערך NewValue משמש כמזהה המשתמש של היעד.
EventDetails.PropertyName	principal.resource.attribute.labels.key	אם PropertyName מכיל (server), ‏ PropertyName משמש כמפתח של תווית ב-principal.resource.attribute.labels.
EventDetails.PropertyName	security_result.about.labels.key	לכל שאר הערכים של PropertyName (חוץ מאלה שמטופלים על ידי תנאים ספציפיים), המערכת משתמשת ב-PropertyName כמפתח של תווית במערך security_result.about.labels.
EventDetails.PropertyName	target.resource.attribute.labels.key	אם PropertyName מכיל (client), ‏ PropertyName משמש כמפתח של תווית ב-target.resource.attribute.labels.
EventName	metadata.product_event_type	הערך של EventName מיומן הגולמי ממופה ישירות לשדה הזה ב-UDM.
חותמת הזמן	metadata.event_timestamp	הערך של חותמת הזמן מתוך יומן הרישום הגולמי מנותח ומשמש כחותמת הזמן של האירוע במטא-נתונים.
metadata.event_type		הערך הוא USER_UNCATEGORIZED אם src_user (שנגזר ממזהה המשתתף) לא ריק, אחרת הערך הוא USER_RESOURCE_ACCESS.
metadata.vendor_name		מוגדרים כ-hardcoded ל-TEAMVIEWER.
metadata.product_name		מוגדרים כ-hardcoded ל-TEAMVIEWER.
network.application_protocol		מוגדרים כ-hardcoded ל-TEAMVIEWER.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.